顯示具有 駭客 標籤的文章。 顯示所有文章
顯示具有 駭客 標籤的文章。 顯示所有文章

2016年4月16日 星期六

找駭客當打手代價知多少? DDoS攻擊每小時5美元起跳

iThome  文/陳文義  2016-04-11發表

Dell 旗下資安部門 SecureWorks 週發表2016年度地下駭客市場報告,揭露各種遭竊的線上個人身分資料的黑市價格,以及部分駭客服務的價錢,其中分散式阻斷服務攻擊 (DDoS) 單價較前兩年攀升,由每小時3美元起,漲價為5美元起跳。


Dell SecureWorks 表示,地下駭客服務黑市正在持續增長,並以俄羅斯為甚。俄羅斯駭客不但開始增長工時,甚至還提供擔保人制度,在駭客能夠達成「客戶」要求的攻擊目的之前,服務費用由擔保人保管,以提高「客戶」滿意度。

該公司研究人員分析全球駭客黑市資料庫取得相關服務價格。DDoS 要價依照每小時、每天與每星期方式計價,依序為5到10美元(台幣162到325元)、30到55美元(台幣977到1,791元)、200到555美元(台幣6,500到1.8萬元)。

網路銀行登入資訊則依帳戶餘額計價,收費餘額的1%到5%;竊取他人的航空公司哩程,能夠兌換兩張跨洲頭等艙機票的30萬哩數,要價僅要90美元(台幣2,931元)。

此外,對於想要自己動手的用戶,駭客亦提供教學或相關設備服務,例如學習 DDoS 攻擊與破解 Wi-Fi 等的基礎駭客線上課程,只要20美元起跳(台幣651元起);提款卡側錄裝置則只要400美元(台幣約1.3萬元)。

此外,黑市也提供實體證件偽造服務,一本美國護照價值3,000至10,000美元(台幣9.77萬元到32.5萬元),歐洲國家護照則為1,200至3,000美元不等(3.9萬到9.77萬元)。

2015年10月18日 星期日

陸駭客工作 朝九晚五、周休二日

2015年10月18日   旺報記者陳怡君/專題報導

來無影去無蹤的駭客,一向披著神祕面紗。但在現實生活中,這些網路高手也像一般上班族一樣,早上8點開始上班,周休二日放假不上工。「黑帽駭客」與「白帽駭客」又依工作性質和「等級」不同,年薪從台幣50萬元到500萬不等,收入差距十分懸殊。


國際資安公司 Palo Alto 亞太區技術人員向本報介紹,駭客依照工作性質可分為黑帽、白帽,一方進攻,一方防衛。如受雇於企業、維護重要資料庫和政府資安的即屬白帽駭客,平時工作除了維護網路安全,也得嘗試「駭」進自家網路,檢查是否有未發現安全漏洞,並進行修補。

打破以往「駭客」給人遠在鍵盤另一端的神祕形象,大陸駭客成為活躍檯面上的新興群體,不為人知的行業祕密浮上水面。據騰訊科技今年對大陸數萬名「白帽駭客」做的行業調查顯示,新生代的90後已成為白帽駭客的主力軍,比例高達61%。

不管是黑帽還是白帽,都靠專業技術和網路知識吃飯,但依照駭客「等級」差距,薪資待遇其實差很大。調查顯示,大陸駭客超過5成5年薪低於10萬人民幣,換算台幣月薪不到4萬。僅有不到8%的「頂尖駭客」年收達500萬台幣。此外,工作風險高出數倍的黑帽駭客,收入與一般白帽駭客更是天壤之別。

另據美國網路安全公司觀察,來自大陸的「駭客行動」幾乎集中發生在周一至周五,時間則從上午8點開始,周末幾乎不會出現攻擊。外界分析,大陸駭客的工作時間可能和一般朝九晚五上班族差不多。

2015年9月14日 星期一

加密便宜行事 駭客揭露偷情網站 Ashley Madison 1100萬用戶密碼

鉅亨網陳律安 綜合外電報導  2015/09/14

個資被洩露在網路上,就已經夠慘了,現在駭客變本加厲,將偷情網站 Ashley Madison 用戶的密碼,也一併曝光。


《CNNMoney》報導,破解密碼團體 CynoSure Prime,分析了洩漏 Ashley Madison 個資之駭客所公布的資料,發現該網站針對用戶加密的方法有大問題,因此洩漏了其中 1,100 萬用戶的密碼。

CynoSure Prime 發現了網站替其中 1,500 萬用戶(約為總用戶數 3,200 萬的一半)加密的方法,出了兩個奇怪的紕漏:其一,它們將密碼全部改為小寫、其二,它們使用的是最弱的加密方法。

兩者皆大錯特錯。

舉例來說,如果你在 Ashley Madison 的密碼是「Password」,網站會將其轉換成「5f4dcc3b5aa765d61d8327deb882cf99」。相信與否,這種密碼非常容易破解。如果正確加密的話,「Password」會轉換成「$2a10$ci9jdQQRdTe4U2wIncJt9uRs.HKatci/30iJcXDzsfqtX4APwTaLS」,這就複雜得多,且幾乎難以破解。

CynoSure Prime 表示,Ashley Madison 的加密法,被破解的速度快過正常版 100 萬倍。至於為何Ashley Madison 對一半用戶用的是正常加密法,另一半用戶則便宜行事,仍是未知數。Ashley Madison 母公司 Avid Life Media 發言人,拒絕回應相關問題。

CynoSure Prime 並不是唯一破解 Ashley Madison 密碼的團體,資安公司 Avast 也不忘補刀,透露了2.7 萬個密碼。

Avast 提供了許多最常為該網站用戶使用的密碼,當中許多與問候娘親有關,且兒童不宜。至於可以在網站上透露的前五名,則包括 123456、password、12345、2345678、qwerty。其他常見的則為「secret」、「Helpme」、「midnight」,很有趣的是「yamaha」也在列。

超常見密碼的一個問題,在於它很容易被猜透。更慘的是,許多人常所有帳戶都用同一個密碼。因此,知道你 Ashley Madison 密碼的駭客,可以很容易的就潛進你的網銀、Gmail 及臉書帳號。

這可不是什麼好事。

2015年9月10日 星期四

男士小心!色情App偷拍機主再勒索

2015/09/10

美國網絡保安公司Zscaler發現,有Android色情應用程式入侵手機的前置鏡頭,偷拍機主,其後更會自動鎖機,彈出勒索機主500美元(約3,900港元)的訊息。


Zscaler稱,這種色情勒索App名為AdultPlayer,讓人以為是成人影片播放器,引誘受害人下載。該App是他們至今發現的第二個色情勒索軟件,在GooglePlay找不到,只能從網頁直接下載和安裝。

這種勒索軟件最「抵死」之處是,一旦有用戶點擊,就會先利用前置手機鏡頭秘密拍下使用者照片,然後將手機鎖住並在熒幕上顯示勒索500美元贖金的訊息。

Zscaler表示,該App會令勒索訊息持續在螢幕出現,令用戶無法使用手機,即使重新啟動手機也沒用。要解除安裝,需要以安全模式重啟手機。Zscaler又提醒用家,不要在GooglePlay以外地方下載應用程式。

英特爾集團負責安全的人士稱,自從2014年以來,全球通過網絡或手機勒索的軟件數量至少增加了127%; 儘管目前最主要的攻擊目標仍然是座機電腦和筆記本電腦,但是手機也正日益成為攻擊新對象。

英特爾歐洲總部的網絡安全負責人拉芝·薩馬尼(Raj Samani)說:「此類軟件主要是針對和利用人們不願意當眾出醜的心理。如果你不付錢,我就讓你身敗名裂。」

5招免成受害人

網絡保安專家認為,要避免成為受害人,只要簡單遵守一些守則:
1. 經常將自己電腦或手機上儲存的信息與數據備份
2. 不要從Google Play之外的非官方網站下載任何軟件
3. 不要隨意點擊開啟來路不明或可疑的電郵或鏈接
4. 如果有Android手機用戶已經下載了「AdultPlayer」,應該立即將手機設置為「安全模式」(safe mode),因「安全模式」允許用戶繼續使用手機的最基本功能,但是不會允許第三方軟件啟動
5. 如果有及時備份,只需洗清硬盤和整個系統,重新安裝軟件即可清除病毒

2015年9月5日 星期六

偷情網站遭駭 個資、性癖好全曝光

2015-08-20  編譯李信漢/綜合報導

提供已婚人士外遇及一夜情的偷情網站「Ashley Madison」,驚傳遭到自許為道德捍衛者的駭客入侵,這群駭客還將該網站用戶的真實姓名、電郵地址、信用卡帳號、性癖好等資料公布在網路上。Ashley Madison設於加拿大多倫多的母公司Avid Life Media痛批駭客的手法為「犯罪行為」,傷害「無辜的」老百姓,加拿大警方與美國聯邦調查局(FBI)已進行調查。


Ashley Madison在全球50多個國家上線,約有3,700萬用戶。上個月,一個名為「衝擊小組」(Impact Team)的駭客團體曾盜取Ashley Madison資料,並要求網站關閉,若要求沒被採納,將公布網站使用者資料。駭客18日在得使用特殊搜尋引擎才能搜尋的「暗網」(dark web)上發布了97億位元組(9.7GB)的電腦數據,內容包括用戶的手機號碼、信用卡號等個人隱私資料,駭客在網頁上說:「時間到!」

使用者包括梵蒂岡神職人員

「衝擊小組」自許為道德駭客,以揭發不忠和貪污為職志,稱Ashley Madison的用戶不應享有匿名權力,因為「他們的骯髒欺騙行為,不值得享有這種體諒」。

美聯社引述專家分析,指Ashley Madison用戶男女比例為5︰1。《連線》(Wired)雜誌網站報導,有1萬5千名用戶的電郵地址是政府或軍隊網站。英國《每日郵報》報導,使用者中不乏有銀行行員、國際商業機器公司(IBM)職員、公務員、美國、英國軍警人員,甚至是梵蒂岡神職人員,哈佛、耶魯大學的職員等。一名遭起底的美國銀行行員在網站上寫道,指自己「性慾太強,無法自主」,想找一個願意嘗試各種性行為的對象。

Ashley Madison在全球各地向使用者主打「匿名性」,而它的口號為「人生苦短,不如偷情」,它還被戲稱為「偷吃神器」。如今駭客洩漏使用者個資,對網站及全球婚姻關係是一大打擊。網站遭駭後,Avid Life Media發表聲明,譴責這群駭客自我標榜「道德法官、陪審員與行刑者,企圖將個人價值觀加諸全社會」,而這些犯罪行為已傷害到無辜百姓的日常生活。

用戶9成為男性 疑涉詐欺

但據「衝擊小組」指出,Ashley Madison偽造許多女性用戶資料,網站上90%至95%的用戶實際上為男性,因此有必要將Ashley Madison的詐欺事實公諸於世。駭客指出,Ashley Madison向使用者收取15英鎊(約台幣777元)的費用,表示可刪除使用者的個人資料,這根本是騙人的。而網站的運作模式就是吸引男性註冊加入網站,實際上卻沒人偷吃到。

2015年9月4日 星期五

華爾街叛徒:高頻交易、華爾街陰謀與勝山的秘密武器

2015-09-03 福布斯中文網      

當布拉德·勝山(Brad Katsuyama)被問及股市是否被人用不正當手段操縱時,他從椅子上跳起來,抓起一支黑色記號筆,開始在白板上畫草圖,那專注的神情仿佛球隊主教練在佈置破釜沉舟的最後一攻。他用方塊表示證券交易所的伺服器,用線條表示高頻交易公司為了比金融界其他競爭對手跑得更快所採用的各種招數:穿透數英里岩層鋪設電纜、在高山之巔建造微波發射塔以及打造由電腦科學博士們組成的雇傭軍。


勝山的新辦公室位於世貿中心四號樓(4 World Trade Center)第44層,在那裡可以俯瞰華爾街。他說:“說實在的,有人相當於拿著明天的報紙進行交易。他們不僅得到市場資料的速度比別人快十倍,而且由於他們的電腦就在交易所內,在其他任何人覺察到發生了什麼之前,他們能進行成百上千次交易。”

在華爾街進行著一場價值數十億美元的短程高速汽車賽。交易公司耗費鉅資投資于先進的演算法、資料傳送專線和超高速光纖連接,為的是憑藉“潛伏套利”(latency arbitrage)在競爭中脫穎而出。其目標是:在其他市場參與者——基金、銀行、交易所和散戶——甚至還不知道價格已經改變之前,利用股價波動牟利。

過去這種遊戲——高頻交易機器人程式(bot)進行的交易占股票交易總量的50%——鮮為人知,直到作家邁克爾·路易斯(Michael Lewis)寫了《高頻交易員》(Flash Boys,諾頓出版社[Norton] 2014年出版)一書探討了這個主題。書中路易斯將勝山描繪成一位正面人物,擁有修復這個不完善系統的解決方案。同期播出的《60分鐘》(60 Minutes)節目遙相呼應地探討同樣的主題:掠奪成性的高頻交易員們比軟弱無能或不願設法解決問題的監管機構跑得更快。

但在當時所謂的解決方案不過是紙上談兵而已。而在18個月後的今天,現年37歲的勝山正積極地將其付諸實施。他的IEX集團(IEX Group,以下簡稱IEX)已經設計了一個平臺來削弱高頻交易的效力。在得到來自於比爾·阿克曼(Bill Ackman)、大衛·艾因霍恩(David Einhorn)和資本集團(Capital Group)等基金業大腕的共1.01億美元投資後,IEX已經迅速佔據了美國股市交易1.5%的份額,每天交易9,500萬股左右。

勝山說:“我們不再抱怨系統哪裡出錯了,而是決定向人們展示存在著不同的正確方式。”

這種不同方式仍然面臨著既得利益者的競爭。證券交易所不僅容忍高頻交易橫行無忌,還從中分一杯羹。紐約證券交易所(New York Stock Exchange)和納斯達克(Nasdaq)對美其名曰“主機託管”(colocation)的服務收取巨額費用,這種服務允許高頻交易公司將電腦直接連到交易所的伺服器,這樣就能在其他公眾覺察前率先得到資訊。

勝山說:“目前由交易所決定誰能擁有哪些技術和資料,這不是交易所應該扮演的角色。”交易所反駁說,其資料和連接可以提供給任何有需要的人使用,但和航空公司類似,這裡也有經濟艙和頭等艙之分。納斯達克普通股業務主管沃爾特·史密斯(Walt Smith)說:“無論交易公司、證券經紀商兼自營商還是共同基金,人人都渴望得到更好的服務以改善自己交易和賺錢的能力——我們將那種服務提供給客戶。”(紐約證券交易所拒絕對此事發表評論。)史密斯認為,對投資者們來說高頻交易利大於弊。他說:“資料顯示,價差(spread)從未因數據獲取權、流動性、證券交易委員會(SEC)的行動、高科技或套利機會等因素而變得更小。交易成本已大幅下降。共同基金的交易成本也變得前所未有的低。勝山的豪言壯語並未得到資料的支援。”

勝山在這場速度之戰中的取勝之道是使其慢下來。他的秘密武器是一隻金屬盒,盒內盤繞著總長度61公里的光纖,可以將收到的交易請求延遲350微秒(1微秒合百萬分之一秒)。這個延遲可以消除高頻交易公司在市場競爭中獲勝所需的速度優勢,就像減速路脊可以消除法拉利跑車相對於福特汽車的速度優勢。

管理著440億美元資產的波士頓公司(Boston Co.)的證券交易全球主管大衛·布魯克斯(David L. Brooks)說:“IEX是比其他交易所更安全、更公平的交易場所。他很快獲得了買方的信任。”不過在華爾街被稱為賣方的大銀行也喜歡IEX。高盛(Goldman Sachs)全球證券交易部門聯合主管布賴恩·萊文(Brian Levine)說:“我們的分析顯示,IEX是進行短線交易的最佳交易場所之一。IEX的‘鞋盒’已經消除了許多潛伏套利的機會。”

業界的讚譽給IEX帶來了利潤:白手起家的IEX去年實現了2,700萬美元的收入。勝山自稱已實現收支平衡。但是如果要在2020年實現佔據10%市場份額的目標,利潤率很可能得達到30%左右。要實現那個市場份額目標,他需要將IEX從私營平臺轉變為註冊交易所。勝山稱IEX即將提交申請材料,他希望在年底前能得到SEC的批准。(鑒於IEX採用的‘減速路脊’,事情可能會相當棘手——目前SEC的規則禁止對到達交易所的訂單進行干擾。所以IEX集團已聘請了前SEC交易和市場主管約翰·拉姆齊幫忙推動申請事宜。)

賭博業億萬富豪史蒂夫·韋恩(Steve Wynn)在讀了《高頻交易員》一書後投資於IEX,他說:“勝山正在提供比現在的系統好得多的東西——更高效的交易。他要麼能從其他交易所處戧到無數業務,要麼會被其他交易所效仿。不管最後怎麼樣,他都會使交易所發生變革,無論它們是否心甘情願。”

當勝山踏入金融業開始職業生涯時,他可沒有改變華爾街運作方式的雄心壯志。這名性格溫和的日裔加拿大人在加拿大皇家銀行(Royal Bank of Canada,RBC)努力工作,逐步升遷,後來被派到紐約辦事處交易能源和科技股。最終他負責掌管RBC的紐約交易櫃檯,年薪達到七位數。但在2007年他認為自己熟知的市場開始發生變化。他很難交易自己在螢幕上看到的股票——在他輸入訂單時,出價和報價都已經遠逝。比方說,過去在100美元價位購買10萬股蘋果公司(Apple)的股票是簡單直接的事;如今他訂單還沒填完,價格就已經跳到了100.01美元。

起初他以為RBC使用了較慢的技術。但當他問遍華爾街同仁後,他意識到這個問題是普遍存在的。他心想:“如果大銀行都無法買賣自己在螢幕上看到的東西,那麼市場肯定存在著什麼根本性錯誤。”他決心為RBC解決這個問題,於是他面試了數十名有高頻交易行業工作經歷的人,最終聘請了羅南·里安(Ronan Ryan),這位電信專家曾説明高頻交易公司將交易時間縮短若干微秒。二人開始進行試驗。

20年前,大多數交易在紐約證券交易所或納斯達克進行。到2005年左右,市場已經分裂成十幾家註冊交易所和30多家暗池(dark pool)——通常由銀行運營的不透明的替代市場(確切地說,目前IEX也是一家暗池)。因此在2007年SEC頒佈了《國家市場系統監管條例》(Reg NMS)以保護投資者,要求經紀人為客戶在所有註冊交易所尋找最佳報價。根據新規則,訂單要被分割成小塊在各交易所間彈來彈去,不能像過去那樣進行大宗交易。和以往各種監管規則經常導致的後果類似,NMS創造出了一個新問題。很快電腦程式開始捕捉訂單信號,利用超高速連接和秘密演算法提前抵達交易所,賺取微小但無風險的利潤。

RBC的團隊(其中包括IEX聯合創始人羅布·派克(Rob Park)和約翰·施瓦爾(John Schwall)打造了代號“雷神”(Thor)的軟體,該軟體可以使訂單同時抵達各個交易所,從而隱匿RBC的行蹤。這使得高頻交易者的軟體無法偵測到TBC的訂單並戧得先機。勝山創造出了解決方案,但不能將其投入廣泛應用。“雷神”是RBC的內部軟體,無法被高盛和美國銀行(Bank of America)之類的大銀行使用。而且由於基金經理——買方——為了獲得銀行提供的研發和投資銀行業務之類的服務,需要使用股票訂單作為支付銀行傭金的方式,因此得將訂單分散到華爾街的多家銀行,而不是全部發給RBC。勝山要想擴大解決方案的應用規模,唯一途徑是打造一個獨立的平臺。

2012年3月,勝山和里安從RBC離職。他們動用積蓄以及朋友們的資助共150萬美元本錢創業。他們聚在自由廣場大樓(One Liberty Plaza)一間辦公室的密室內,研究如何打造一個不會侵犯RBC雷神軟體所有權的解決方案。由於距離是速度的最大殺手,他們開發出了神奇的鞋盒,在曼哈頓這個金融業中心創造出了距離感。

勝山說:“和交易所正在做的事情恰恰相反,我們不是讓人們盡可能接近股票訂單匹配引擎,而是盡可能地將每個人推得遠遠的。”2013年3月,他們憑藉手中的解決方案,從資產管理人處籌得2,440萬美元,其中包括貝爾弗資產管理公司(Belfer Management)、資本集團以及阿克曼和艾因霍恩之類的對沖基金經理。和勝山在RBC時的感受類似,這些業界人士都對市場感到沮喪。

一年後,勝山接到了天上掉下的行銷餡餅,成為路易斯《高頻交易員》一書的正面角色,又上了《60分鐘》節目。當時勝山和妻子在紐約的公寓內觀看了那期節目。節目結束後他的電話被打爆了。他回憶道:“業界同仁們吼叫著稱我為叛徒,發誓讓我在華爾街混不下去。”幸好不是所有的人都恨他。當晚他的電子郵箱收到了500份簡歷。然後韋恩和星火資本(Spark Capital)的亞曆克斯·芬克爾斯坦(Alex Finkelstein)等人打來電話要求投資。到了那年秋天,勝山已籌得1億美元,有充足的彈藥與捕食者們進行較量。

戰鬥仍將是艱苦的。勝山宣揚的觀點是目前的系統是不公平的——然而如果要想讓自己的解決方案得到大規模推廣,他必須要戰勝運營當前這個系統的人。路易斯說:“他面臨著微妙的公關問題,因為他可能會損害到自己的客戶。在業內引爆這枚臭氣彈後,他得清除掉其中一些臭氣。”這種清除工作包括使賣方——高盛、美國銀行、花旗銀行(Citi)等——投入到他的陣營。里安說:“如果你想打造一個規模可擴展的解決方案,真正實現市場變革,你離不開經紀人。你得團結買方、經紀人和交易所,大家一起推動變革。”

IEX在推銷時稱自己是為透明、公平的交易所,其收入模式簡單——每交易1股收取1/900美分。IEX禁止主機託管和特殊連接服務。里安說:“我們不會向客戶收取埠、電纜和資料推送的使用費。我們只對買賣股票收費。經紀人們尊重我們的做法。”

IEX也吸引了高頻交易客戶。《高頻交易員》一書的出版,引發了高頻交易是好是壞的辯論。當然實際情況要複雜得多。許多高頻交易公司作為做市商(marketmaker),給系統添加了寶貴的流動性,在很多方面使市場比以往任何時候更有利於投資者。因《高頻交易員》引發的喧囂被迫推遲上市一年的高頻交易公司古董金融公司(Virtu)是IEX最大的客戶之一。由於運營交易所的成本高昂,如果不能吸引到更多的高頻交易量,IEX是無法與美國的大型交易所競爭的。從IEX的角度看,關鍵是要阻止濫用系統缺陷的機器人程式,同時吸引有益的高頻交易。勝山說:“有些公司喜歡我們,因為我們不讓掠奪成性的傢伙接近。其他有些公司則懷恨在心。如果你只是在做市,你就不該為我們打造的東西擔憂。”

IEX最終能否取得成功取決於能否獲得令人垂涎的註冊交易所法律地位。一旦成為註冊交易所,中間商將無法繞過它。(《國家市場系統監管條例》規定,如果某交易所的股價不高於其他交易所的,那麼交易商將不得不使用它。)僅憑這一點交易量就將大為提高。其次,一旦IEX成為註冊交易所,企業就可以在IEX上市。IEX能賺取獲得高利潤的上市費用(紐約證券交易所年收入的10%來源於這種方式)並獲得開盤、收盤時的放量交易。韋恩自稱將把永利度假村(Wynn Resorts)轉移到IEX上市,並且將把這個想法傳播給其他賭場大亨,比如拉斯維加斯金沙集團(Las Vegas Sands)的謝爾登·埃德森(Sheldon Adelson)。勝山甚至認為,IEX用科技促進開放的企業使命,有助於吸引蘋果公司、穀歌(Google)和臉譜網(Facebook)等矽谷巨頭。其中任何一家轉移到IEX上市都會引發上市企業大舉遷移到IEX。

在實現目標的過程中,勝山可能會得到好萊塢的鼎力相助。電影劇本作家亞倫·蘇爾欽(Aaron Sorkin)正在就《高頻交易員》改編為電影劇本一事進行談判。勝山說:“夥計們對我說該請成龍(Jackie Chan)演我。老兄,成龍好像快60歲了,而且會空手道。”他還賺了很多钱。 

2015年9月3日 星期四

數百帳號收費編寫 維基百科封鎖

2015/09/03  中央社舊金山綜合外電報導

維基百科(Wikipedia)今天宣布已關掉300多個帳號,有人收錢後再用帳號到這個共同編撰的線上百科全書撰寫或修改內容。


法新社報導,根據部落格文章,多週以來的調查發現,英文版維基百科有381個帳號從事「黑帽」(blackhat)編輯,這些人拿錢為外部利益宣傳,卻未表明自己收了某人的錢。

負責調查的維基百科編輯群找到理由,足以說明這些帳號使用的部分手法為惡意手段,或許甚至可視為敲詐。根據這個廣為使用的線上百科全書,在部分案例中,有心人士假裝代表維基去接觸內容的當事人並索費。

維基受訪表示:「其他時候,這些人會威脅當事人若是沒有付錢就刪掉內容。」「因此,我們同意(那些)帳號背後採取的行動屬於敲詐,甚至部分案例類似勒索。」

2015年8月31日 星期一

搭車沒發票,Uber 中國涉嫌逃稅

2015 年 09 月 01 日

日前 Uber 宣布加大對中國市場的投資,隨之而言的是問題也是一個接一個,Uber 中國募資狀況飽受質疑,營運資質問題也是懸而未決,近日 Uber 中國涉嫌逃稅的消息再度引發關注,消費者使用 Uber 租車服務後,索取發票被拒,Uber 公司表示 Uber 租車的部分服務是不盈利的,無法開發票。據中國相關稅費法規,從事商業營運服務,無論是否盈利,都應該依法開發票,上繳相關稅費。Uber 的競爭對手滴滴快的、神州租車、易到用車均可開發票。


目前 Uber 中國營運了多個不同價格檔次的租車服務,根據車輛的不同,價格各異,其中人民優步價格最大,相當於美國市場的 Uber X。近日有消費者反映,使用 Uber 租車服務,向司機和 Uber 公司索取車費發票被拒。另外其他價格較高的 Uber 租車服務,號稱可以開發票,但需要消費者提交詳細的個人資料,需要等待數月才有可能拿到發票。

Uber 公司對於無法開發票的問題回應稱,由於人民優步是不盈利的,所以無法開發票。事實上根據中國的相關稅收法規,發票金額是核定商業營運收入的重要依據,從事商業營運的機構和業務都必須交稅,適用於營業稅、增值稅等不同稅種,盈利與否不是徵稅的依據。Uber 中國的主要競爭對手滴滴快的、神州租車、易到用車等租車服務都可開發票,用戶只需在 App 上提交發票資訊,就可以在幾個工作日內收到發票。另外 Uber 中國涉嫌逃稅的另一個原因是由於無法取得營運資格,租車服務屬於非法營運,少繳稅可降低公司的營運成本,但增加了營運風險,一旦被查有可能面臨巨額的罰單。

2015年7月30日 星期四

駭客勒贖比特幣 月賺破千億台幣

2015-07-27  聯合報 編譯李京倫/報導

紐約時報報導,近年來,駭客發展出一種新形態的「綁架勒贖」手法:用惡意程式把電腦上所有檔案加密,或癱瘓政府與民間機構的網站,勒索比特幣,受害者包括警察局與金融公司。


目前一塊比特幣在網上或市場上能換到兩百九十美元(約台幣九千元)。防毒軟體公司Sophos 指出,有群俄國與烏克蘭駭客透過這種手法,在一個多月內賺到一千六百五十萬比特幣(約台幣一千四百多億元),受害者主要在美國。

美國新罕布夏州一警察局去年六月被惡意程式攻擊後,拒絕付贖,自行救回檔案。不過,最近田納西州狄克森郡與麻薩諸塞州圖斯伯里鎮警局都說,他們不想跟駭客周旋,各自付了五百美元(約台幣一萬五千元)贖金了事。

資安專家指出,最近有多家金融公司被名為 DD4BC 的駭客攻擊,駭客威脅說,如果不付一萬美元(約台幣卅萬元),就要用巨大流量癱瘓網站。美國海港證券公司六月被駭,網站癱瘓一天半,但這家公司拒絕付贖,在技術供應商協助下讓網站恢復正常。

駭客喜歡比特幣,因為保存比特幣的數位錢包無須向任何政府或金融管理單位註冊,比特幣系統不會蒐集使用者的個人資料,比特幣很容易換成真實的錢,更重要的是,比特幣交易不可逆轉,受害者不能像使用信用卡付贖一樣拿回贖金。

二○一三年年底,第一個勒索比特幣的惡意程式 CryptoLocker 出現,至去年年中為止,受害電腦達廿三萬四千台。去年年中出現的 CryptoWall 威力更強,去年年底開始又出現TorrentLocker、Dirty Decrypt 等新版程式。

2015年7月28日 星期二

美逮比特幣詐騙嫌 傳涉摩根大通遭駭案

2015年7月22日

(法新社紐約21日電) 美國與以色列當局今天分別在兩起詐騙案逮捕4名男子。媒體報導說,這些嫌犯和 去年摩根大通(JPMorgan Chase)電腦被駭案有關。 根據兩案法庭文件,1起是位在以色列的集團在美國低價股炒股案,另起案件則是非法的比特幣( Bitcoin)交易活動。


法庭文件並未透露這些嫌犯與摩根大通去年數千萬名客戶機密資料遭駭案有關。 但是「紐約時報」(New York Times)引述消息人士說法報導,落網的4名男子與1名仍在以色列的在逃男子,涉嫌犯下摩根大通銀行客戶資料遭駭事件。 摩根大通去年10月透露,駭客取得7,600萬名客戶與 700萬企業客戶資訊。

2015年7月1日 星期三

歐洲刑警破獲金融木馬駭客集團,偷騙全球洗錢近7千萬

文/黃彥棻| 2015-07-02 編譯

歐洲刑警組織(Europol)日前發布新聞稿指出,該組織與來自6個不同國家的聯合調查小組成員,在烏克蘭破獲一個活躍於全球各大洲的網路犯罪組織,主要利用金融木馬Zeus(宙斯)和SpyEye等惡意程式竊取網路銀行帳戶資訊,在今年6月中旬的聯合調查行動中,於烏克蘭4個不同城市逮捕5名成員。歐洲刑警聯合調查小組從2013年鎖定追查這個利用金融木馬洗錢的駭客集團,有上萬人電腦被感染導致網路銀行帳戶資料遭竊,總計逮捕60人。該犯罪集團造成的損失,初步估計,約為200萬歐元(大約6,800萬元)。


Zeus是最知名的金融木馬程式,最厲害的變種惡意程式就是Zbot。從2011年釋出原始碼迄今,至少有其他駭客用相關原始碼,又創造出其他包括Citadel和Gameover兩個金融木馬,而SpyEye更是模仿Zeus的擴散方式,具有極大的危害。金融木馬主要的目的是竊取使用者網路銀行的帳號、憑證和使用者個人資訊,並透過錢驢(Money Mule)網絡進行洗錢。

歐洲刑警組織和聯合調查小組從2013年開始調查時,便分析數TB的資料、透過Europol Malware Analysis System分析上萬個受金融木馬程式感染的檔案,取得上千個與該行動相關的敏感情資,也得要針對行動裝置進行嚴謹的數位鑑識,甚至於,每2個月就進行一次線上會議,確認彼此之間的辦案進度。從調查開始到此次行動結束,歐洲刑警組織總計逮捕60名嫌犯,其中有34名與洗錢有關。

資安公司也已經發現金融木馬帶來的危害。根據資安公司卡巴斯基的調查,Zeus這個金融木馬程式從2007年3月到2014年年中,已經有超過30家銀行、3萬名個人或企業受到感染,金融木馬竊取金額高達4,700萬美元。

此外,賽門鐵克先前公布的「2014年金融木馬程式現況報告」則指出,金融木馬在全球86個國家出現,有1,467家機構被金融木馬惡意程式鎖定,其中,超過95%被鎖定單位是金融機構,最常被鎖定的金融機構位於美國。排名第一名的金融木馬就是Zbot,也是Zeus的變種金融木馬惡意程式。2014年Zbot全球感染400萬臺電腦,比2013年全球感染200萬臺電腦,暴增一倍。

2015年6月26日 星期五

外籍劳工的福音,台湾 10,000 家便利店提供比特币汇款服务

洒脱喜 2015-06-11

台湾初创公司 Maicoin 推出了一项服务,用户可在10,000家台湾境内的便利店购买到比特币,该公司创始人兼首席执行官 Alex Liu 表示,外籍打工人员可以使用比特币来汇款,因此将受益于这种服务。


在亚洲,人们经常会到便利店内支付邮政账单,他们将现金存交给店员,然后店员再通过电汇的方式完成支付。而 Maicoin 所提供的服务,客户需要使用 Maicoin 的移动 app 或者 web 端钱包,然后将手中的现金交给店主就可以完成交易。当然,他们也可以通过常规的银行 ATM机,将个人银行账户内的资金进行直接转账。

便利店的选择

今年一月份时,Maicoin 的竞争对手 BitoEX, 在台湾当地数千家全家超市、OK便利店、Hi-Life便利店推出了比特币购买服务,上月,他们还将服务扩张到了全国最大的连锁便利店 7-11,用户使用这种服务,需要用到一个手机号码以及PIN组合系统,然后就可直接转账自己钱包内的比特币。

而随着 MaiWallet 的推出,用户只需在自己的手机或平板电脑上 show 下自己的二维码,然后收银员扫描下后就可以完成支付。目前移动端的 app 还在内测阶段,如果有兴趣测试,可以联系这家公司。据该公司表示,他们考虑在夏末或者秋初时候正式发布 MaiWallet。

面向消费者的交易服务

据悉,Maicoin 已运营超过了1年,该平台提供的交易服务瞄准的是消费者、商家以及汇款市场,而非专业的交易者。在过去的两轮融资中,该平台筹集到了200万美元的风投资金,并拥有了超过30,000名注册用户。刘表示,该公司已在过去的一年中处理了消费者和汇款交易,资金超过400万美元,虽然这无法得到证实。

巧合的是,Maicoin 与二月份香港涉嫌比特币投资传销案的’MyCoin‘平台名字发音相同,可能造成混淆。但刘说,目前这并没有影响到 Maicoin 的业务。


汇款的合作伙伴

据 Maicoin 表示,该公司还与菲律宾兑换和汇款服务商 Coins.ph 建立了合作关系,为台湾大批外籍菲律宾打工人员提供服务。超过78,000名外籍劳工,可以使用 Maicoin 和 Coins.ph 的服务,在台湾地区任意时间点内将任何金额的资金汇款到自己的家中,而无需产生额外的费用。

刘说, Maicoin系统获得监管部门的批准,其最大的障碍不是比特币,而是处理当地货币。
“摆在面前的问题,不再是买卖比特币的合法性,而是关于整个支付处理的问题。相对于去年来说,这是一个巨大的进步。”

2015年6月16日 星期二

密碼管理網站 LastPass 遭駭客入侵

中央社舊金山16日綜合外電報導

高人氣的密碼管理網站 LastPass 遭駭,駭客可能從網路取得部分用戶資訊。LastPass 表示,已阻擋攻擊,調查後沒發現個人密碼或用戶帳號遭入侵。美聯社報導,安全專家表示,這也代表任何線上資訊都會成為攻擊目標。


以加密技術儲存各式各樣密碼的平台 LastPass 昨天警告,在自家電腦系統監測到「可疑活動」,進而發現部分用戶電子郵件信箱、密碼提醒字串和加密元素外洩。LastPass 表示,已阻擋攻擊,調查後沒有發現個人密碼或用戶帳號遭入侵的證據。

位在維吉尼亞州費法克斯(Fairfax)的 LastPass 建議用戶,更改用來取得其他線上服務或帳號的加密個人密碼的主密碼。但 LastPass 表示,不需要更改所有帳號的個人密碼。LastPass 正採取措施,驗證用戶自從未用過的裝置或路由器試圖登入的帳號。

LastPass 執行長西格里斯特(Joe Siegrist)在部落格貼文表示:「我們有信心,我們的加密措施足以保護絕大多數用戶。」他也對要求用戶更改密碼,所帶來的不便致歉。

2015年6月10日 星期三

TrapX揭露駭客的新樂園:醫療裝置容易綁架,獲利超高!

2015-06-10  編譯/陳曉莉

網路安全業者TrapX 出版一篇醫療裝置的綁架分析報告,指稱醫療裝置已成為駭客攻擊的主要目標,因為醫療裝置可能是醫院網路鏈中最脆弱的一環,同時個人健康保險憑證的資訊在黑市的價值可能是信用卡的20倍,替駭客帶來可觀的收益。


這些醫療裝置為醫療照護系統中可見的侵入點,且多半連結了醫院裡的電子醫療紀錄系統,因此成為駭客存取個人資訊的主要途徑。TrapX至少曾偵測到3起medjack(Medical Device Hijack)案例,也就是醫療裝置遭到駭客綁架的事件。發現在不同的醫療院所中分別有X光機、醫療影像儲存暨傳輸系統,以及血液氣體分析儀等裝置受到病毒的感染。

此外,醫療裝置通常執行著封閉、老舊,及缺乏更新的作業系統,如Windows 2000、XP或Linux,因而受到全球駭客的青睞。駭客繞過醫院的防火牆與防毒軟體等安全機制之後在這些裝置中植入惡意程式。另一方面,由於美國食品藥物管理局(FDA)規定醫院不得擅自開啟系統來安裝第三方軟體,因此並不容易掃描或偵測惡意程式,就算能夠確定這些裝置含有惡意程式,也必須要有裝置製造商的全面配合才有辦法移除。

TrapX共同創辦人Moshe Ben Simon表示,駭客知道醫療裝置是整個醫院網路中最容易攻陷的地方,因此他們快速滲透這些醫療裝置,建立了命令與控制管道,然後存取組織內的重要資訊。

這是因為醫療資訊的龐大收益。先前自美國零售商外流的消費者信用卡資訊在黑市的每筆售價為1~2美元,但健康保險憑證的售價卻高達20~40美元。FBI在2014年便曾警告醫療產業要對網路攻擊提高警覺,主要即起因於豐厚的回報與相對鬆散的安全標準。

根據美國身份竊盜資源中心(Identify Theft Resource Center,ITRC)今年3月公布的報告,醫療機構的資料外洩事件佔全美所有相關事件的32.7%,光是在今年第一季就有近1億筆的醫療紀錄外洩。資訊服務業者Experian的2015資料外洩年度報告則顯示,醫療產業資料外洩是今年最大的趨勢,估計其每年的資料外洩成本高達56億美元。

TrapX認為,鎖定醫療院所的網路攻擊行動在今年與明年勢必會增加,同時斷言,大部份的醫院皆已受到惡意程式的感染,而且是經年累月之後還未曾被發現。該公司強烈建議醫院要重新審視及更新與醫療裝置製造商之間的合約,要求對方明確提供裝置偵測、整治,與更新服務。

2015年6月4日 星期四

美政府400萬僱員信息遭竊 疑中國駭客所為

2015/06/05  川合智之 華盛頓報導

美國政府人事管理局 (OPM) 6月4日宣佈,最多有400萬名聯邦政府僱員的個人信息可能遭駭客盜取。其中被認為包括已退休僱員,但詳細情況並未被透露。據美國媒體報導,美國政府當局者認為是以中國為基地的駭客所為,美國聯邦調查局(FBI)等已對此展開調查。


美國人事管理局在內務部的數據中心保存僱員信息,2015年4月監測到了駭客進入該系統的痕跡,並在5月初確認信息被盜。駭客被認為可能自2014年12月起就已成功侵入。

據稱,這是史上最大規模的美國政府僱員信息遭洩露事件。該系統2014年3月也發現了可能來自中國駭客的入侵,但當時並未確認到有信息洩露。美國國土安全部、FBI和國務院正共同展開調查。    

2015年6月2日 星期二

日年金機構遭駭 大量個資外洩

2015-06-01 中央社 東京1日專電

日本年金機構今天公布,因職員的電腦遭到駭客攻擊,約有125萬份個人資料外洩。日本首相安倍晉三下令要妥善處理這問題。


日本年金機構今天公布因職員電腦遭駭客攻擊,有125萬件個資外洩,內容包括年金加入者的姓名、基礎年金編號,其中約有5萬2,000件包含地址。有55萬件是違反內規,沒設密碼。日本年金機構理事長水島藤一郎今天在記者會致歉表示,感受到該負很大的責任,會全力因應。

日本年金機構表示,5月8日機構的職員打開電子郵件的附加檔案後,有1台電腦感染病毒,自此之後,就有異常的信件寄來。雖然請外部的資訊安全公司因應,但似乎其他的職員也有打開附加檔案,18日再度查出有異常信件寄來。19日向警視廳報案,28日獲知有個資外洩。

外洩的個資當中,基礎年金編號及姓名外洩的約有3萬1,000件。基礎年金編號、姓名、生日外洩的約116萬7,000件。基礎年金編號、姓名、生日、住址外洩的約有5萬2,000件。外洩的個資件數有可能更多。

日本首相安倍晉三表示,年金對國民來說,是很重要的,已指示厚生勞動大臣要妥善處理。
厚生勞動大臣鹽崎恭久表示,很遺憾沒能防止惡意的(駭客)攻擊。厚生勞動省將成立檢視委員會檢討。日本年金機構明天起對於個資被外洩的加盟年金者要辦手續時,將徹底確認是否為本人。另外,還要請個資被外洩的加盟年金者變更基礎年金編號,以防有人冒領。日本年金機構將向個資遭外洩者個別致歉,並設有專線,讓覺得有疑點的年金加盟者可致電洽詢。

2015年5月31日 星期日

絲路創辦人 重判終身監禁

2015年05月31日 中國時報記者 顏嘉南綜合外電報導

接受比特幣交易的線上毒品黑市「絲路」(Silk Road),其美籍創辦人烏布利希(Ross Ulbricht)上周五遭法官判處終身監禁重刑,本案也被視為線上犯罪和政府監管的指標性案件。


31歲的烏布利希利用網路販毒、非法入侵電腦和洗錢,聯邦陪審團2月即裁定罪名成立,紐約曼哈頓聯邦地方法院法官佛瑞斯特(Katherine Forrest)對烏布利希利從重量刑,判處2個終身監禁,且不得提出假釋。

佛瑞斯特稱烏布利希的不法行為前所未見,「必須為其所做所為付出代價」。法官同時裁定烏布利希須為網站的不法所得支付逾1.839億美元罰金。

佛瑞斯特也對被告非法入侵電腦、偽造文書和洗錢等罪名,處以最高刑責,各為5年、15年和20年。受過高等教育的烏布利希聆聽法官宣判時面無表情,他的母親聽到2個終身監禁時以雙手掩面,感到相當失望。

烏布利希的律師表示將提起上訴,稱法院的判決「不合理、不公正也不公平」。烏布利希雖承認「絲路」網站是他所設立,但否認有任何不法,表示「想讓人們在生活中能有選擇,並保有隱私和匿名的自由。」

檢察官特納(Serrin Turner)表示,「絲路」創立超過2年,使用者可在此匿名購買毒品和其他非法物品,總交易額超過2.14億美元。特納稱烏布利希如同其他毒梟,幻想透過犯罪事業晉身億萬富豪之流,甚至採取教唆殺人等極端手段,宛如黑幫電影情節。

檢察官指出,「絲路」網站利用洋蔥路由(The Onion Router;Tor),讓使用者匿名交談和接受買家以虛擬貨幣比特幣付款,讓使用者隱藏真實身份和所在位置。檢調單位在2013年10月查緝「絲路」網站,並逮捕烏布利希,該網站當時即已關閉。

2015年5月28日 星期四

會員個資遭駭!丹堤咖啡移除資料庫 並譴責不法行為

2015年 05月 29日 記者彭夢竺/台北報導

丹堤咖啡(Dante Coffee)傳出個資遭駭客入侵,千萬筆的客戶資料外洩,被刊登在俄羅斯網站上,且資料已經外洩19天!對此,丹堤咖啡發言人副總經理徐恆鈞今(29)日表示,他們接到消息後,隨即到台北市刑事警察大隊報案,並將疑似IP及入侵期間的Log日誌檔交由警方追查,除了對消費者表達歉意,並提醒消費者注意詐騙行為外,也譴責駭客的行為。


不少駭客為了展現實力,會在資安論壇發布駭到的資料,日前有民眾爆料指出,看到資安論壇上有台灣人的個資,而且應該是丹堤咖啡的會員資料,包括帳號、姓名、電子郵件、生日、性別、聯絡電話、行動電話、行業、郵遞區號、聯絡住址、註冊時間全都洩漏,公布的時間為5月10日。

徐恆鈞坦承,他們確實是在昨天下午接獲媒體通知才知曉這件事情,已經在第一時間到台北市刑事警察大隊報案,並將疑似IP及入侵期間的Log日誌檔交由警方追查,目前丹堤咖啡已要求委外代管公司移除會員資料庫,並立即更換主機,同時進行弱點分析,補強資訊安全的防護措施,以防止類似事件再次發生。

對於駭客惡意入侵事件,徐恆鈞指出,這對丹堤影響很大,尤其是在商譽的部份,沒能有效督促網站代管公司,在資訊安全上為會員把關,除了對消費者表達深切的歉意,並譴責駭客的不法行為,也提醒消費者留意假借丹堤名義的詐騙事件,以免受騙。

駭客侵入美國稅局網站 10萬筆個資遭竊

2015-05-27

美國國稅局(US Internal Revenue Service)26日說,國稅局電腦遭駭客侵入,多達10萬筆納稅人個資遭竊。 法新社華盛頓26日報導,國稅局表示,身分不明的網路竊賊從外部資源取得特定納稅人的生日、地址與社會安全碼等重要的識別資訊,藉此進入國稅局帳戶。


國稅局說:「這些第三者從外部資源取得充分資料,再試圖進入國稅局網站。他們得以利用這些個資闖過層層認證程序,包括通常只有納稅人知道的個人認證問題。」

國稅局表示,竊賊侵入的是允許用戶查詢與國稅局往來紀錄與報表的「取得謄本」(Get Transcript)網路系統。駭客2月到5月中旬期間企圖侵入約20萬個帳戶,其中約半數得手。國稅局說,「取得謄本」的電腦系統,與每年經手數以百萬計美國納稅人線上報稅資料的系統並非同一個。

2015年5月23日 星期六

有辣媽性服務嗎?辣媽懷疑經紀人搞鬼

2015年05月22日     蘋果日報呂志明/台北報導

一名朱姓網路節目主持人,去年和一名長相俊俏的16歲國中男學生爆發經紀糾紛,事後男學生的母親接到不明男子騷擾電話,問她「你有在做辣媽性服務嗎」,她懷疑朱男暗中搞鬼,怒告妨害名譽,但台北地檢署調查後認為事證不足,今將朱男不起訴。


檢警查出,去年2月朱男和這名國中男學生簽約,事後雙方爆發經紀糾紛,男學生還指控朱男對他摸髮性騷擾,但北檢調查後認為事證不足,將朱男不起訴,不料今年初男學生的母親突然接到不明男子來電,用輕挑的語氣問她「妳有在做辣媽性服務嗎?」還說他在UT聊天室看到相關訊息,才撥打電話詢問。

男學生的母親懷疑朱男將她的名字與手機PO上聊天室,不僅讓她名譽受損,還害她遭受性騷擾,憤而提告。

檢警根據相關訊息PO文追查電腦IP位址,查出是在台北市一棟大樓,且朱男的母親恰巧住在該棟大樓,因此將朱男及其母親約談到案,但朱男堅決否認,朱母則證稱大樓有提供未上鎖的WiFi供住戶使用,檢察官認為沒有具體證據證明朱男犯案,今將他不起訴。