人性弱點遭黑客利用　網絡罪犯盯上個人

【賽迪網-IT技術報道】2008年11月11日，北京－－邁克菲公司（McAfee）（紐約證券交易所股票代碼：MFE）今天發佈的一份報告稱，由於可以通過社會網絡、資料丟失和其他來源收集資料，網絡罪犯的目光已經盯上個人。根據這份半年刊《邁克菲安全期刊》威脅報告，McAfee Avert® Labs 的安全專家發現，網絡罪犯正越來越多地採用社會工程技術，利用人性的弱點來獲得最大利潤。

McAfee Avert® Labs的高級副總裁Jeff Green表示：「網絡罪犯正在製造計算機用戶無法識別的攻擊。釣魚欺詐、電子郵件攻擊、木馬和很多其它攻擊方式都是針對個人，即使最富經驗的人也可能落入精心策劃的社會工程陷阱中。」

在過去的6個月中，網絡騙子利用人的情感和好奇心來嘗試引誘受害者並盜竊個人信息。最近，很多新聞事件中（如奧運會、自然災害和美國大選等）都出現了騙子的身影。

Green表示：「不管您住在哪裡或說何種語言，網絡騙子都能利用人的本性，如恐懼、好奇心、貪婪和同情心等。罪犯瞭解人的弱點，並通過互聯網大加利用這些弱點。對於網絡騙子來說，利用這種方式賺錢或竊取敏感資料非常容易。」

《邁克菲安全期刊》列出了四個重要的全球性趨勢：

(1)個性化攻擊的深度將提升。越來越多的用戶在網絡上發佈自己的個人信息，而且用戶生成的應用程序數量也在不斷增加。這便給網絡罪犯利用社會網絡站點上的信息和漏洞進行攻擊帶來了機會。

由於網絡罪犯的攻擊越來越縝密和個性化，邁克菲預計，對於此類攻擊，用戶將完全無法警戒。

(2)利用社會工程技術製造的垃圾郵件將大規模爆發。通過根據真實信息編造貌似可信的垃圾信息，網絡罪犯誘騙了無數的受害者。例如，網絡騙子會利用從資料洩漏事件中獲得的信息捏造一些虛假的針對用戶的活動，或向用戶提供折扣。

邁克菲預測這個趨勢將會繼續，因為欺詐者會從社會網絡站點或資料洩漏事件中收集用戶的個人信息，瞭解用戶的信用卡信息、興趣和行為。

(3)股票詐騙將增多。社會工程技術的發展將越來越多地被用於影響股票等有價證券，其危害程度遠遠超過常見的「拉升後拋售」詐騙。「拉升後拋售」詐騙是指垃圾郵件製造者通過垃圾郵件散播某個低價股票能賺大錢的消息，吸引投資者購買此股票，當股價被拉高之後，他們會立即拋售從中牟利。

回溯歷史上的「投機股」詐騙，Avert Labs的研究人員預計網絡罪犯將更大膽地嘗試各種手段以引起股價和衍生證券的價格浮動並獲取利潤，例如宣稱某個上市公司的軟體存在安全漏洞或管理層將發生變化。

(4)罪犯會利用用戶希望保護個人電腦的心理，偽造安全更新。邁克菲跟蹤發現，越來越多的惡意軟體偽裝成來自安全廠商的軟體。犯罪份子使用彈出窗口式廣告告訴用戶，他們的計算機受到感染並且只有此廠商的軟體能夠清除。實際上，這些軟體不僅不能提供保護，還會使用戶的機器下載新的惡意軟體。

邁克菲相信，網絡罪犯將更加賣力地使用偽造的安全更新引誘受害者。

與網絡攻擊相關的數字

‧110萬美元－－在有史以來世界最大的網絡盜竊事件中，瑞典Nordea銀行的客戶損失了總共110萬美元。

‧84%－－美國內務部中，人為錯誤占所有安全違規事件的比率。

‧1980－－電子公告板上首次出現木馬的時間。

‧419－－聲名狼藉的Nigerian垃圾郵件惡意代碼中的一節。

‧150%－－採用社會工程技術的木馬自2006以來的增長率。

‧742－－冒充freecreditreport.com網站的數量，受害者的每次錯誤輸入都會給它帶來收入。

‧320－－冒充YouTube的網站的數量，是被冒充次數第三多的網站。其它被冒充的流行網站包括CartoonNetwork.com、Craigslist.org以及ClubPenguin.com。

企業和消費者如何避免社會工程攻擊

我們可以從以下三個方面來防範涉及社會工程技術攻擊的網絡犯罪：

(1)更新安全技術。企業和消費者必須及時更新安全軟體以獲得最新版的防病毒、垃圾郵件過濾、反釣魚瀏覽器插件和Web安全檢測。

(2)安全地使用計算機和網絡。用戶應當對電子郵件、即時通訊軟體或社會網絡消息傳播的內容高度警惕，不要貪小便宜。同樣，永遠不要點擊來自未知發件人的電子郵件。

(3)瞭解您的法律權利。安全行業和執法部門正在通過跟蹤和起訴等方式打擊網絡罪犯。

《邁克菲安全期刊》的完整版參見http://www.mcafee.com/。

(