【網絡安全】香港生產力促進局轄下的香港電腦保安事故協調中心(HKCERT)日前在其年度資訊保安展望簡布會提醒社會各界,今年要留意五大資訊保安風險,包括身份/憑證盜用、利用人工智能(AI)的攻擊、網絡犯罪服務(Crime-as-a-Service)、針對Web 3.0 的攻擊及物聯網(Internet of Things, IoT)廣泛應用引發的攻擊。
資訊保安風險(1)身份/憑證盜用
日常生活上,大家都會登入不同的電子平台,從網購平台、網上銀行,以至工作及私人的電郵系統。平台都需要驗證用戶身份,近年提倡的多重要素驗證(Multi-factor authentication, MFA)便是目前其中一種較為安全的方法,但黑客仍然有技術盜取大家的身份,以下有五種常用手法:
「中間人網絡釣魚」
黑客架設釣魚網站作為一個代理,在中間代理受害人與官方網站進行雙重認証。成功驗證後,會把受害人載入官方網站繼續使用服務,但其實黑客已經在背後偷取受害人的 Session Cookie。手法厲害之處,是受害人根本不會知道自己已經中招。
「MFA 疲勞攻擊」
黑客會在短時間內發出大量 MFA 授權請求轟炸受害人,務求令受害人誤按同意授權。另一邊廂,黑客得到受害人授權後就可以登入受害人帳戶。
「偽裝廣告」
黑客在搜尋平台上賣廣告,令自己的假網站可以在搜尋結果的頭數位,甚至前於被冒充品牌的官方網站,受害人一不留神就登入這些假網站。
「OAuth釣魚攻擊」
受害人不知就裏授予權限給惡意程式,令惡意程式可以存取到用戶的資料。
利用社交工程,如近期虛擬銀行騙案,犯案者利用朋友關係,成功記錄受害人容貌及身分證等個人訊息來開戶借貸。
資訊保安風險(2)利用AI的攻擊
AI在去年初,大家或覺得仍然好遙遠,十劃都未有一撇。但去到今年,人人都熱烈討論著AI聊天機器人ChatGPT,大家是否依然認為AI跟各位沒有關係?
有黑客在ChatGPT推出初期已懂得利用ChatGPT編寫惡意程式。同時,大家亦要注意AI回覆的真確性、偏見及版權問題,所以凡事都要進行事實查核(Fact Check)。
模仿已故著名歌手貓王擬真似假
另外,大家還要留意人工智能欺詐,一間名為Metaphysic的人工智能初創公司在美國受歡迎才藝表演真人騷《全美一叮》(America‘s Got Talent)展示即時DeepFake技術,現場模仿已故著名歌手貓王Elvis Presley,擬真似假,可見DeepFake技術已經發展得好成熟。美國聯邦調查局在去年6月就發出警告,有不法分子利用DeepFake去應徵遙距工作,獲聘後利用所得權限接觸敏感資料。
資訊保安風險(3)網絡犯罪服務(Crime-as-a-Service)
現在有不少網絡罪犯都會通過出售或者出租他們工具來圖利,讓整個網絡犯罪更加商業化、工業化,大大降低技術門檻。普通人只需要購買或租用工具,或者購買大量個人資料來發動網絡攻擊,而且購買或者租用這些工具都好便宜,例如勒索軟件低至100美元都有交易,使這種網絡犯罪服務模式日趨普遍,人人都可以做黑客,對企業及大眾都構成很大威脅。
資訊保安風險(4)針對Web 3.0 的攻擊
2022年加密貨幣熱潮,HKCERT就觀察到有一系列針對Android及iOS手機加密貨幣錢包應用程式(App)的惡意活動出現,透過複製加密貨幣錢包的官方網站建立欺詐網站,然後利用搜索引擎優化(Search Engine Optimisation, SEO)提高欺詐網站的搜尋引擎排名,誘使用戶直接於欺詐網站下載虛假加密貨幣錢包App,從而偷取用戶加密貨幣錢包的助記詞及轉走用戶的加密貨幣。
假扮加密貨幣交易所發送「網絡釣魚」短訊
另外,有黑客假扮加密貨幣交易所發送「網絡釣魚」短訊(SMS),指根據加密管理局條例的規定,需要用戶登入更新帳戶並開通Wallet Direct功能,來確保可以正常使用帳戶。用戶按入SMS內的連結後,就會被導引至假的加密貨幣交易所網頁,頁面會騙用戶輸入登入資料。
除了加密貨幣外,非同質化代幣(Non-Fungible Token, NFT)及元宇宙都與Web 3.0息息相關。就NFT來說,黑客會試圖盜取或入侵NFT賬戶,又或者模仿NFT平台推廣手法,以免費名義發放假NFT資產,籍此誘騙受害人提供敏感資料。而元宇宙就涉及的保安問題,大多與虛假身份及數據泄露相關。
對Smart Contract的保安存在誤解
另外,一個不可不提的Web3.0技術是區塊鏈(Blockchain),據統計涉及Blockchain和智能合約(Smart Contract)的損失高達200億美金。許多人對Smart Contract的保安都存在誤解,例如Blockchain 上其實有很多惡意 Smart Contract,以及Smart Contract即使已經放入Blockchain內亦可以被更改的。
資訊保安風險(5)IoT廣泛應用引發的攻擊
大家的手機、手錶、智能家居都是IoT設備。根據一項數據,只要智能設備一連接互聯網,5分鐘內就會受到黑客的攻擊。黑客主要偷取IoT設備的登入帳戶,又或者利用軟件的漏洞操控IoT設備。其實IoT應用於許多工業營運技術(Operational Technology, OT)設備上,可以涉及各類大型基礎建設,例如水、電、煤、交通、物流等,一旦受到攻擊,將會影響大量公眾,所以絕對不能忽視IoT保安問題。
連汽車都可以被黑客遙距操控
HKCERT早前便夥拍香港理工大學(理工)以無人機作為例子,一同探討IoT設備的網絡安全,並製作了一條示範短片,證明這類設備如果沒有做好保安措施,隨時會被”劫機“。由IoT設備構成的保安隱患問題還有另一個催化劑,就是現在很多IoT設備都可以用手機 App 遙距操控,黑客如果可以掌握當中的通訊方式及破解認證方法,就可以自製另一個 App 來控制這些設備。這些並不是紙上談兵,因為理工的研究團隊已經做到這些示範,連汽車都可以被黑客植入惡意程式來遙距操控。