过期域名预定抢注

 找回密碼
 免费注册

eBay及PayPal成2005年最大釣魚攻擊受害者

[複製鏈接]
發表於 2006-1-6 17:45:59 | 顯示全部樓層 |閱讀模式
【來源:eNet硅谷動力】 【作者:陳登】  
& `8 _5 `$ x; G3 V) f  【eNet硅谷動力消息】美國東部時間1月4日(北京時間1月5日),據海外最新消息,英國網絡安全企業Netcraft公司表示,在2005年中eBay網站及其相應的PayPal支付服務成為了兩個最大的釣魚攻擊受害者。 # ]9 k- @# W9 m7 h! y" s
% K( i8 f5 O- K+ d) F5 L

. c. s! z2 Q# A# C3 j4 P" S . V) Z+ ]6 U4 P1 _: @% h( `

9 t7 U" Z0 X3 r  Netcraft公司對2005年中超過4.1萬個釣魚攻擊網址進行了統計,其中62%的釣魚攻擊指向是eBay網站及其相應的PayPal支付服務。
6 w% W; F$ `2 E: F! T
. O- B0 o" n! z: |" q9 Z/ \* f1 D  eBay網站及其相應的PayPal支付服務成為了釣魚攻擊者的主要目標的原因很簡單,因為他們擁有眾多的釣魚攻擊者的最終目標——消費者。
4 f* ~/ I# u3 [  \5 y4 h( `' X1 M! \4 Q* ^- b$ J4 ^
  Netcraft公司說:「eBay網站及其相應的PayPal支付服務擁有超過6800萬的同時在線用戶,而且這些消費者們都使用電子郵件,這就為釣魚攻擊者提供了很高的欺騙成功先決條件。」* a- g4 ^0 f  {% i

9 y/ o. o8 _1 j' a3 d: [  Netcraft公司還對5000個釣魚攻擊站點地址進行了回顧,以求找到這些站點的初始地區,其結果發現,來自羅馬尼亞和俄羅斯的釣魚攻擊站點都超過了全球總數的1%,是存在率最高的兩個地區。4 ~1 b. O* S0 Z
1 D' H6 h  H& J$ x5 |
  實際上,2005年中有1397個釣魚攻擊站點在羅馬尼亞,其總數佔整個羅馬尼亞域名數中3%之多。Netcraft公司表示,韓國是釣魚攻擊站點存在率最高的國家,共有2807個釣魚攻擊站點,占韓國總域名數中9.1%之多。2 Y& l$ {. |8 x' Z7 f, d
( J8 Q' q/ X" T" ?; d+ y
  Netcraft公司為Windows版微軟IE瀏覽器和火狐瀏覽器提供了一種反釣魚工具條。該反釣魚工具條可以從Netcraft公司網站免費下載使用。
發表於 2006-1-6 17:57:29 | 顯示全部樓層
釣魚攻擊受害者具體指什麼意思?
回復 给力 爆菊

使用道具 舉報

發表於 2006-1-7 16:50:32 | 顯示全部樓層
不明白
回復 给力 爆菊

使用道具 舉報

發表於 2006-1-7 17:58:01 | 顯示全部樓層
DDOS?1 K  z+ t" e/ Q

' e+ i0 |, J4 C  }& Q3 Z! }韓國肉雞不少的 哈哈
回復 给力 爆菊

使用道具 舉報

發表於 2006-1-7 18:04:11 | 顯示全部樓層

網絡釣魚攻擊日趨準確化 利用電郵作怪

網絡欺詐者的手法日漸細密,甚至在發動攻擊前,深入瞭解潛在受害人的詳細背景。
8 C* C$ v' ?5 @+ e; ]
$ L! d# {& V# W( h, }% q1 d電腦安全專家最近發佈的報告指出,利用電郵地址作為密碼提示和註冊識別碼的網站,已成為欺詐者取得民眾詳細個人信息的渠道。
2 }% p; l- g! o/ Y
/ a6 T! [" V& {根據報告的描述,欺詐者通過網站的註冊和密碼提示工具,自動輸入數萬個電郵地址。由於許多電子商務網站會回復特定的信息給已註冊的電郵帳號,攻擊者便可借此確定哪些地址是有效的。! G  L% ~  G% P: V, G1 e" @7 A

! O" W+ `: [+ o* i, F" Y+ m利用從數個不同網站收集的信息,惡徒便可針對特定的收件人,量身製作欺詐電郵,讓網絡使用者更難分辨這些信件究竟是一般的垃圾還是騙局。此外,專家表示,量身製作的信息也容易逃過垃圾郵件過濾器的偵測。; ?! F$ _. B7 j4 f& f; Q
" k& Y, s: F# v& j$ Y3 K6 ], ^, r9 D
反釣魚詐騙工作小組(Anti-Phishing Working Group)主席Dave Jevans 說:「釣魚攻擊最近變得更個人化和準確化。」這類欺詐相關的信息,現在會包含收件人的姓名或電郵地址,或甚至含有更多關於收件人的個人信息。0 F" c4 q0 i- d  |5 i8 ~
0 M8 D" M) P3 a7 b5 \
釣魚是一種盛行的在線欺詐,歹徒試圖竊取受害者的帳號、密碼和信用卡號等敏感信息,然後對外出售或盜用身份。這類騙局通常利用垃圾電郵和偽裝成合法網站的欺詐網頁。/ k7 G8 e) W' _4 N  x
8 \+ Z! @: F3 l9 {! w/ h$ j8 [5 K; m
欺詐者通常以自行編列、購買或在線收集等方法,準備大量的電郵地址。註冊或密碼提示攻擊的竅門在於網站的回應。許多商務網站會回覆特定的信息,如「這個地址已被註冊」,以便申請人更改帳號,但攻擊者卻可借此辨別哪些帳號有效。0 z5 Q& D" x' W" t  B) ]
! }5 k" C/ b3 T( s
安全專家Eran Reshef 表示,電郵地址與網站配對之後,網絡罪犯便可取得真正使用者的性別、性取向、政治立場、居住地區、嗜好和消費過的網絡商店等詳細個人信息。
# v* C  y, `' u, K# {+ `* C9 ]! b6 G2 Z! I& }
Rashef說:「想像某個人知道你所有註冊過的網站,再想想那代表什麼。集合所有這類信息,你可以一份創造非常詳盡的個人側寫,不只是片段的信息。」
0 P! t1 b( T2 t6 _$ [7 `! E
% b+ V" m& h  A3 z6 }7 l$ E, Y因此,這類攻擊的成功率也較高,因為當中所含的準確信息,會讓不知情的收件人以為那是合法的郵件。舉例來說,一封假冒銀行或信用卡公司的信件,可能指出收信人確實使用過的網絡商店名稱。( D7 J/ \. n- |- }! Y& ]  t5 q
, N) h5 p4 Q9 I1 i
安全專家發現,美國大多數受歡迎的網站都能讓欺詐者進行「惡意的個資收集」。此外,許多小型網站,包括網絡商店、運動團隊網站、政治組織和其他團體的網站也相當容易被利用。, h1 ^- ?2 o, }6 w* o
: S# ~  ?& E( b5 l$ i5 s/ |% Y" E
不過,該安全專家的研究顯示,惡意的個資收集尚未大幅擴散。Reshef說,某些網站經營者–例如大型銀行企業–似乎已注意到這個問題。這些網站都不讓使用者以電郵地址註冊帳號,並要求額外信息才會發出註冊或密碼提示,或採取其他安全措施。
# a" ~2 V$ h$ t2 U: S0 L. U% _. k+ o
eBay也是以實際行動阻擋註冊與密碼提示攻擊的商業網站之一。eBay的全球隱私權標準資深顧問Scott Shipman 表示,早在釣魚詐騙肆虐之前,該站便停止接受電郵地址作為使用者帳號,並在註冊與密碼提示過程中,採取其他保護措施。$ j* q* j# Q4 ]6 o% y

  m5 e5 W( g& ^* q3 F3 h1 q4 GShipman說:「這一切都是專門防範未授權的信息揭露,不管是多麼細微的信息,例如某個電郵地址或使用者帳號是否為本站的有效帳號。」 以eBay為例,不論特定電郵帳號是否曾在該站註冊,使用者帳號的提示功能均發出一樣的回應。Shipman說:「錯誤信息的用字遣詞讓人無法分辨這個帳號是否有效。」
8 i8 X0 H( ^% e- Y+ X! I: S4 q
1 o6 i# u" b1 H! y/ LShipman 認為,設計一個不會洩漏使用者信息的網站,是所有網站經營者的責任。他表示:「這是何謂最佳經營行為的典範。」& S! N. r4 w2 @; f1 c& z) s' i1 K

' y0 c: e1 k1 z% _惡意的個資收集只是釣魚詐騙信息日益準確化的方式之一。本月稍早,安全研究人員曾提報,遭竊的消費者信息被用來盜領特定銀行個人帳戶內的存款。
: k0 \) H, W5 z* a9 P0 u6 [5 F& }4 X9 x* }" ?- h
反釣魚詐騙工作小組的Jevans表示,安全專家的研究顯示一股新興的釣魚欺詐威脅。他贊成在線組織應採取行動,消除註冊與密碼提示功能的安全弱點。他說:「我認為這項研究是真的,你絕對可以改寫網站的這項功能,或許也應該這麼做。」
5 l! v# \+ b4 O4 l4 a! b" R% R0 p- }+ O! ?3 j/ t! y
個資收集如何進行?
& d) S1 k- B7 z/ H" O  ^6 o4 Q. P, u/ i8 p! P
以下條列出網絡惡徒如何建立潛在受害者的個人側寫,以提高欺詐犯罪的成功率。
  v& P- |: K& {. ?2 K- K4 s* y! J+ L+ h( k5 c
攻擊者用購買、網絡收集工具、自行編造或其他方式,準備大量電郵地址。
2 G) T/ O- i! U+ T
# q5 r% }& t, D9 c9 A# D$ L: q: s% K編寫一段script程序,自動執行將所有電郵在不同網站登入的程序,以便收取回覆。) E  }- ~0 F# F$ |# B  U
% V& E; \  E. K3 U" y
網站的回覆讓攻擊者確認個別電郵地址是否有效,再將這些信息彙編成詳盡的文件。
( o$ |6 G8 M8 D2 ^1 N8 I( l3 `" X$ T) U) Q9 e3 n' |+ F
製作完成的個人文件用來量身定作欺詐電郵。' _" x7 D4 ]7 W# e' O! p! W
- |2 P+ {4 Z" }+ F4 T3 I: s- J/ z! ?
如何阻擋攻擊?) t& }3 M8 m6 S, s
2 E2 x9 @3 \$ X( G& |
唯有網站企業對註冊與未註冊電郵發出不同的回覆,「惡意個資收集」手段才有可能奏效。
+ X) j  A4 z4 X1 a7 @- Q* Q4 b9 l) x/ J
當網站允許電郵地址作為註冊帳號,且沒有要求難以捏造的個人細節信息,如信用卡號以為驗證,其註冊功能才有可能被惡徒利用。
0 }9 {$ t3 v" X# c% ~/ `
. i% Z( O# s" s5 ^: b& a+ P/ i3 q其他安全措施,如要求新登記者解答圖像問題,也能防範這類攻擊。) I* S$ t! P3 @
  c3 B8 }* [1 m' k( }# @9 @
除電郵地址之外,提示功能若還要求其他個人信息,惡徒便難以利用。1 _  \2 T$ {$ y1 K' r0 P& c7 V
7 z% q9 H! u* E/ }1 T5 j7 W
網站所提出的圖像式問題,也能有效制止這類欺詐手段。
回復 给力 爆菊

使用道具 舉報

發表於 2006-1-7 20:01:22 | 顯示全部樓層
提示: 作者被禁止或刪除 內容自動屏蔽
回復 给力 爆菊

使用道具 舉報

發表於 2006-1-10 02:07:16 | 顯示全部樓層
東歐(包括俄羅斯),越南,東南亞,韓國比較多 ^_^
回復 给力 爆菊

使用道具 舉報

您需要登錄後才可以回帖 登錄 | 免费注册

本版積分規則

过期高净值品牌域名预定抢注

4um點基跨境網編創業社區

GMT+8, 2024-10-30 23:27

By DZ X3.5

小黑屋

快速回復 返回頂部 返回列表