|
Elite Member
|
"eBANK更換登錄畫面以防範網站仿冒"
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=4152
【日經BP社報導】提供網上銀行服務的日本eBANK銀行於8月6日宣佈，該公司將在9月12日以後更換登錄畫面。屆時畫面上不僅顯示目前不顯示出來的位址欄和狀態欄，還在登錄時顯示用戶預先註冊的關鍵字。通過這些措施，就可以確認登錄網頁是不是eBANK的網頁了。
自2003年以來，美國的“網站仿冒”受害者層出不窮。所謂網站仿冒，就是用貌似知名企業的電子郵件將用戶誘導到假冒網站上，竊取登錄口令或信用卡的網上詐騙活動。今年以來，在日本也成了人們議論的話題（參閱本站報導）。eBANK此次變更登錄畫面也是防範網站仿冒的舉措之一。其目的是當用戶被誘導到假冒網頁上時，能馬上覺察出來。
具體措施首先是將目前不顯示的位址欄和狀態欄顯示出來。並勸告用戶從位址欄確認URL、從狀態欄的“鎖定標誌”確認數位簽名。
此外，還提供使用關鍵字註冊的方式（缺省狀態下，使用原來不使用關鍵字的方式）。這裏的關鍵字不是eBANK認證用戶的詞語，而是用戶確認是eBANK網站的詞語。
用戶預先註冊一個關鍵字。如果選擇的是關鍵字註冊方式，首先要求進行“臨時登錄”。具體步驟是輸入用戶帳戶號碼及分行號碼、登錄口令的前4位。輸入這些內容後，就會顯示預先註冊的關鍵字。在確認這個關鍵字是自己註冊的詞語後，再輸入完整的登錄口令。
這種確認方法也適用於通過手機進行的登錄。從8月8日開始提供的“快速登錄”服務是基於手機固有的ID，在登錄畫面上顯示分行號碼和帳戶號碼。看到這些後，用戶就可以確定這個頁面是eBANK網頁。經過確認後，輸入正確的口令，就可以登錄了。
據該公司宣傳部門表示，該公司已就此次登錄畫面變更在公司網站上發出了通知，並計畫在每週向用戶發送的郵件雜誌等上面也發出通知。“我們認為這些措施可以降低網站仿冒的危險，但也並非萬無一失。今後仍將繼續加強防範對策”（eBANK公司宣傳部）。至於今後的對策，目前還正在研究。預計將在近期內公佈有關內容。
很多網站在登錄畫面和個人資訊輸入畫面上不顯示位址欄。這些網站的用戶即使被誘導到不顯示位址的假冒網站（仿冒網站）上也察覺不到。對於試圖進行網站仿冒的人來說，這些都是很好的目標。如果為用戶著想的話，至少也應當把位址欄和狀態欄顯示出來。（記者：勝村 幸博） ...國外的
"淺談特洛伊木馬的新變種-網路釣魚"
http://forum.icst.org.tw/phpBB2/viewtopic.php?t=4155
網路釣魚（phishing）在今年上半年不斷進入公眾的視野。McAfee AVERT預計，網路釣魚（phishing）在下半年將繼續增加，由於網路釣魚攻擊利用偽裝的電子郵件和欺騙的網址，專門騙取個人財務資料，比如信用卡號和社會安全號碼。據Gartner估計，過去一年中，有1／5的美國人成為Phishing的攻擊目標。因此，網路釣魚今後將成為困擾個人用戶的安全問題一大熱點。
網路釣魚（Phishing），本質上就是一種電子郵件欺詐。電子郵件詐騙者會向沒有防範的用戶發送一些貌似來自銀行或零售商的電子郵件，聲稱收件者的帳戶需要更新或有新產品待售，目的在於釣取（fishing）客戶的帳戶資料或信用卡號碼。
通常，欺詐郵件會提供一個與銀行或購物網站極為相似的鏈結。收到此類郵件的用戶一旦點擊此鏈結，緊接著頁面會提示用戶繼續輸入自己的帳戶資訊。如果用戶填寫了此類資訊，這些資訊將最終落入詐騙者手中。Gartner最近的一項調查表明，有5700萬美國消費者肯定收到或很可能收到過網路釣魚的電子郵件。Gartner稱，在去年遭遇此類詐騙的400萬消費者中，有30%的消費者訪問了假冒的eBay網站，29%的人發現了假冒的PayPal網站，14%的人則發現了假冒的花旗銀行網站。
“網路釣魚”的新伎倆
目前網路釣魚出現了一種新的伎倆。此類Phishing使用的是一種動態的JavaScript代碼，而不僅是靜態的假位址欄圖像。攻擊者通過JAVA程式更改位址欄，修改被襲擊者的流覽器，從而可將其引誘到顯示為銀行官方站點的網站，進而使更多的人上當受騙。花旗銀行（Citibank）、eBay 和US Bank成為被假冒的前三名網站。
電子郵件欺詐行為無孔不入，無怪乎McAfee AVERT副總裁Vincent Gullotto也發出這樣的感歎：“病毒、蠕蟲、木馬以及非預期的程式，比如間諜軟體以及密碼盜竊者在2004年上半年的增長超過了所有2003年我們所發現的威脅”。
Vincent Gullotto還說，“雖然我們看到病毒發生的概率從2000年至2003年間，每年以5%的比例穩步下降，但是，我們卻發現惡意軟體相關的威脅在2003年至2004年間正在以20%的比例增長，而且這個數字在未來還將上升。”
"魚兒"是如何入侵的？
感染了網路釣魚的電腦有何症狀呢？是否可以覺察？同傳統的木馬程式的一樣，網路釣魚不複製自己。一個被釣上的電腦系統將會表現出不尋常的行為或運行得比平時要慢。
中“招”的電腦可能會有一個或多個不尋常的任務在運行（這個症狀通常可以通過使用任務管理器或相似的工具查出），或者對電腦的註冊表和其他配置檔進行修改。而且，電子郵件會在用戶不知情的情況下被發送。
由於網路釣魚是一個非自我複製的惡意代碼，因此它們需要依靠用戶向其他人發送它們自己的拷貝。網路釣魚可以作為電子郵件附件傳播，或者它們可能隱藏在用戶與其他用戶進行交流的文檔和其他檔中。它們還可以被其他惡意代碼所攜帶，如蠕蟲。
網路釣魚有時也會隱藏在從互聯網上下載的捆綁的免費軟體中。當用戶安裝這個軟體時，木馬就會在後臺被自動秘密安裝。
如何防範網路釣魚？
專家提醒，儘管網路釣魚電子郵件欺詐行為的危害性很大，但是電腦用戶不必談“魚”色變。事實是，也許很多用戶無法判斷善意的預警和誇大其詞的危言聳聽之間的差別。
對於用戶來說，實現安全20％依靠產品、技術，80％依靠安全意識和觀念。也就是說，用戶的安全狀態是與其安全意識的提高息息相關的，提高安全防範意識才是根本。
網路釣魚作為一種新的木馬病毒，內容上側重竊取個人的帳戶等資訊為目的，技術上沒有很大的區別。針對木馬、間諜件、郵件欺詐等安全威脅，個別廠商的誇大宣傳十分有害，是對用戶的一種不負責任的態度。但是，面對形形色色的“病毒”，用戶也不能輕敵。業界專家建議用戶：安裝個人防病毒軟體、個人防火牆軟體；經常檢查個人電腦的安全狀態，是否有異常行為；提高個人安全防範意識，對電子郵件發來的確認帳號的要求不予理睬。
特別是網路釣魚等郵件欺詐行為，用戶並不主要通過技術手段來防範，主要還是依靠用戶提高安全意識。 之前講過
今次再強調
__________________
人性的醜陋就是，會在無權、無勢、善良的人身上挑毛病，卻在有權、有勢、缺德的人身上找優點。當無權、無勢、善良的人受到傷害的時候，還會站在所謂的道德制高點上，假惺惺地勸說無權、無勢、善良的人，一定要忍耐，一定要大度。
|