月度安全报告:隐私泄露威胁全球网民

2014年9月25日 16:27      来源:毒霸安全月报

月初，多名好莱坞影星艳照在全世界的社交媒体广泛传播，艳照门事件完全跨越国界，这一事件让人们对苹果的iCloud服务安全忧心忡忡。

[1] 众多好莱坞女星隐私照片被黑客泄漏

有安全公司指出，苹果公司“找回我的iPhone”服务存在安全漏洞，可以允许黑客穷举密码，这一漏洞可能是艳照泄露的幕后真凶。但更多的证据表明，这起事件，因当事人使用iCloud服务不当，与黑客撞库的关系更加密切。

由于大量网民存在重复使用密码或者密码过于简单的问题，许多网站由于安全漏洞被黑客拖库。被黑客掌握的网民数据库可能已经影响全球超过10亿人，几乎所有互联网的重度使用者或多或少有用户名密码落入黑客之手。这个庞大的数据库，会被黑客用来尝试登录那些重要的网络服务，比如社交媒体、邮箱服务和云存储服务。

iCloud未在全球提供双步验证，并且默认并未引导用户使用。建议用户使用双步验证：第一步使用用户名密码，第二步使用手机验证码或动态密码。双重验证通过，才能登录成功。或者关闭iCloud服务，操作步骤：打开iPhone或iPad的设置->iCloud->将照片流或视频流关闭。

[2] 开启icloud两步验证服务增强安全性

使用其他云存储服务的用户，也需要检查自己是否开启双步验证，安全专家建议网民不要将那些绝对属于机密的信息上传到云存储空间。

艳照门的扩散也引起另一个麻烦，由于大量猎奇的网民四处寻找好莱坞影星艳照，许多不怀好意的人开始利用好莱坞女星艳照传播病毒，他们将病毒木马重命名为艳照相关的文件，欺骗网民打开。一旦中招，电脑或手机就被入侵，可能导致帐号被盗，或被安装流氓软件。

[3] 伪装为艳照“播放器”的流氓病毒被拦截

[4] 伺机传播的手机木马程序被拦截

在艳照门事件稍作平息之后，紧接着发生493万Gmail用户帐号密码泄露事件，该事件的性质和艳照门事件并无本质差别。

[5] 493万Gmail用户的帐号密码遭遇泄露

同样，要解决这个风险，需要启用Gmail的两步验证。

[6] 开启Gmail两步验证服务增强安全性

这么多的密码是怎么落到黑客手里的呢？有许多可能的途径，问题可能出在管理用户数据的网络服务商，也可能出在用户自己身上。比如自己经常在一些网站提交个人信息、网络填表、见到网店打折促销发大奖就不能自制……。除了这些之外，还有一种威胁几乎不为人所知，那就是WiFi钓鱼。

金山毒霸安全中心和乌云网近期做了测试，在公共场所使用一个路由器伪造CMCC的钓鱼WiFi，瞬间有数十人的手机或Pad自动连接。这些移动设备一旦掉入WiFi钓鱼陷阱，就会自动同步联网上传数据。不幸的是，这些数据包，都会经过黑客设置的陷阱。分析其中的数据，就能得到大量用户信息，包括邮箱用户名密码、正在浏览的邮件内容、打开网盘访问的照片等等。

攻击者通过钓鱼WiFi拿到邮箱访问权限之后，可以继续扩大战果：浏览所有邮件内容；假冒身份欺骗邮箱联系人；发送带网络钓鱼或网页攻击类的邮件；控制受害人微博；查看受害者网购历史记录和12306的购票信息。

[7] WiFi钓鱼陷阱

怎么防止自己不幸掉入WiFi钓鱼陷阱呢？手机端安装猎豹免费WiFi，或者平常关闭手机或Pad的无线网卡，需要上网时才打开。使用公共场所WiFi上网时，避免使用高危操作，比如在线购物、访问网银、网络理财、处理电子邮件、使用社交网络等操作。

本月的安全事件实在太多了，就在大家对安全专家的建议无动于衷的时候，一条爆炸性的新闻出现在微博：扮演小龙女的李若彤遭遇电信诈骗，损失100万。

[8] “小龙女”李若彤遭遇电信诈骗损失100万

类似电信诈骗为什么会发生呢？究其原因，又与个人信息泄露有关。首先攻击者得到李若彤助理的电话，简简单单几句话，就把助理吓蒙了。乖乖把自己的电脑交给骗子远程控制，亲手把U盾插到电脑上，配合骗子把银行卡里的钱转走100万。类似的电信诈骗频繁发生，曾有受害者一次被骗上千万。

今天，越来越多的网络攻击发生在智能手机上。骗子们假冒中国电信积分换礼活动通过伪基站攻击群发诈骗短信，在短信中附带钓鱼网站链接。不明真相的网民手机打开钓鱼网站，会提交详细的个人信息，这些信息落到骗子手里，网银资金就会被盗。

[9] 诈骗短信暗藏手机网银钓鱼站点

更加不幸的是，这些钓鱼网站还存在严重安全漏洞，黑客入侵这些网站，骗子们收集的银行卡数据完全暴露。凭表格中的卡号、有效期、CVV、用户名等信息，可以在任何一家购物网站消费。那些受害的用户，极有可能面临不止一个小偷去盗刷银行卡。这些信息暴露，唯一的选择是将旧银行卡销号，重新申请新卡。

[10] 用户个人信息与网银信息遭遇泄漏

通过这篇总结文章，网民是不是觉得风险太多脑细胞不够用了。现实就是这样残酷，和全副武装的网络犯罪分子比起来，网民处于绝对劣势。需要采取综合措施保护我们的信息安全：

1) 在电脑和手机上安装杀毒软件，同时警惕那些来历不明的软件，当任何人试图说服你关闭杀毒软件，或卸载杀毒软件时，坚决说不。

2) 除了网银等需要验证个人身份外，其他网站应尽量避免填写自己的真实个人信息。

3) 谨慎使用网盘等云端服务备份自己的隐私数据，可以本地加密以后再备份到云端。

4) 重要网银、邮箱等帐号使用独立密码，避免其他密码泄漏以后造成更进一步的损失。

5) 警惕诈骗电话，涉及到资金操作务必提高警惕。