加密便宜行事 駭客揭露偷情網站 Ashley Madison 1100萬用戶密碼

鉅亨網陳律安 綜合外電報導　　2015/09/14

個資被洩露在網路上，就已經夠慘了，現在駭客變本加厲，將偷情網站 Ashley Madison 用戶的密碼，也一併曝光。

《CNNMoney》報導，破解密碼團體 CynoSure Prime，分析了洩漏 Ashley Madison 個資之駭客所公布的資料，發現該網站針對用戶加密的方法有大問題，因此洩漏了其中 1,100 萬用戶的密碼。

CynoSure Prime 發現了網站替其中 1,500 萬用戶(約為總用戶數 3,200 萬的一半)加密的方法，出了兩個奇怪的紕漏：其一，它們將密碼全部改為小寫、其二，它們使用的是最弱的加密方法。

兩者皆大錯特錯。

舉例來說，如果你在 Ashley Madison 的密碼是「Password」，網站會將其轉換成「5f4dcc3b5aa765d61d8327deb882cf99」。相信與否，這種密碼非常容易破解。如果正確加密的話，「Password」會轉換成「＄2a10＄ci9jdQQRdTe4U2wIncJt9uRs.HKatci/30iJcXDzsfqtX4APwTaLS」，這就複雜得多，且幾乎難以破解。

CynoSure Prime 表示，Ashley Madison 的加密法，被破解的速度快過正常版 100 萬倍。至於為何Ashley Madison 對一半用戶用的是正常加密法，另一半用戶則便宜行事，仍是未知數。Ashley Madison 母公司 Avid Life Media 發言人，拒絕回應相關問題。

CynoSure Prime 並不是唯一破解 Ashley Madison 密碼的團體，資安公司 Avast 也不忘補刀，透露了2.7 萬個密碼。

Avast 提供了許多最常為該網站用戶使用的密碼，當中許多與問候娘親有關，且兒童不宜。至於可以在網站上透露的前五名，則包括 123456、password、12345、2345678、qwerty。其他常見的則為「secret」、「Helpme」、「midnight」，很有趣的是「yamaha」也在列。

超常見密碼的一個問題，在於它很容易被猜透。更慘的是，許多人常所有帳戶都用同一個密碼。因此，知道你 Ashley Madison 密碼的駭客，可以很容易的就潛進你的網銀、Gmail 及臉書帳號。

這可不是什麼好事。

偷情網站遭駭 個資、性癖好全曝光

2015-08-20  編譯李信漢／綜合報導

提供已婚人士外遇及一夜情的偷情網站「Ashley Madison」，驚傳遭到自許為道德捍衛者的駭客入侵，這群駭客還將該網站用戶的真實姓名、電郵地址、信用卡帳號、性癖好等資料公布在網路上。Ashley Madison設於加拿大多倫多的母公司Avid Life Media痛批駭客的手法為「犯罪行為」，傷害「無辜的」老百姓，加拿大警方與美國聯邦調查局（FBI）已進行調查。

Ashley Madison在全球50多個國家上線，約有3,700萬用戶。上個月，一個名為「衝擊小組」（Impact Team）的駭客團體曾盜取Ashley Madison資料，並要求網站關閉，若要求沒被採納，將公布網站使用者資料。駭客18日在得使用特殊搜尋引擎才能搜尋的「暗網」（dark web）上發布了97億位元組（9.7GB）的電腦數據，內容包括用戶的手機號碼、信用卡號等個人隱私資料，駭客在網頁上說：「時間到！」

使用者包括梵蒂岡神職人員

「衝擊小組」自許為道德駭客，以揭發不忠和貪污為職志，稱Ashley Madison的用戶不應享有匿名權力，因為「他們的骯髒欺騙行為，不值得享有這種體諒」。

美聯社引述專家分析，指Ashley Madison用戶男女比例為5︰1。《連線》（Wired）雜誌網站報導，有1萬5千名用戶的電郵地址是政府或軍隊網站。英國《每日郵報》報導，使用者中不乏有銀行行員、國際商業機器公司（IBM）職員、公務員、美國、英國軍警人員，甚至是梵蒂岡神職人員，哈佛、耶魯大學的職員等。一名遭起底的美國銀行行員在網站上寫道，指自己「性慾太強，無法自主」，想找一個願意嘗試各種性行為的對象。

Ashley Madison在全球各地向使用者主打「匿名性」，而它的口號為「人生苦短，不如偷情」，它還被戲稱為「偷吃神器」。如今駭客洩漏使用者個資，對網站及全球婚姻關係是一大打擊。網站遭駭後，Avid Life Media發表聲明，譴責這群駭客自我標榜「道德法官、陪審員與行刑者，企圖將個人價值觀加諸全社會」，而這些犯罪行為已傷害到無辜百姓的日常生活。

用戶9成為男性 疑涉詐欺

但據「衝擊小組」指出，Ashley Madison偽造許多女性用戶資料，網站上90％至95％的用戶實際上為男性，因此有必要將Ashley Madison的詐欺事實公諸於世。駭客指出，Ashley Madison向使用者收取15英鎊（約台幣777元）的費用，表示可刪除使用者的個人資料，這根本是騙人的。而網站的運作模式就是吸引男性註冊加入網站，實際上卻沒人偷吃到。

TrapX揭露駭客的新樂園：醫療裝置容易綁架，獲利超高！

2015-06-10  編譯/陳曉莉

網路安全業者TrapX 出版一篇醫療裝置的綁架分析報告，指稱醫療裝置已成為駭客攻擊的主要目標，因為醫療裝置可能是醫院網路鏈中最脆弱的一環，同時個人健康保險憑證的資訊在黑市的價值可能是信用卡的20倍，替駭客帶來可觀的收益。

這些醫療裝置為醫療照護系統中可見的侵入點，且多半連結了醫院裡的電子醫療紀錄系統，因此成為駭客存取個人資訊的主要途徑。TrapX至少曾偵測到3起medjack（Medical Device Hijack）案例，也就是醫療裝置遭到駭客綁架的事件。發現在不同的醫療院所中分別有X光機、醫療影像儲存暨傳輸系統，以及血液氣體分析儀等裝置受到病毒的感染。

此外，醫療裝置通常執行著封閉、老舊，及缺乏更新的作業系統，如Windows 2000、XP或Linux，因而受到全球駭客的青睞。駭客繞過醫院的防火牆與防毒軟體等安全機制之後在這些裝置中植入惡意程式。另一方面，由於美國食品藥物管理局（FDA）規定醫院不得擅自開啟系統來安裝第三方軟體，因此並不容易掃描或偵測惡意程式，就算能夠確定這些裝置含有惡意程式，也必須要有裝置製造商的全面配合才有辦法移除。

TrapX共同創辦人Moshe Ben Simon表示，駭客知道醫療裝置是整個醫院網路中最容易攻陷的地方，因此他們快速滲透這些醫療裝置，建立了命令與控制管道，然後存取組織內的重要資訊。

這是因為醫療資訊的龐大收益。先前自美國零售商外流的消費者信用卡資訊在黑市的每筆售價為1~2美元，但健康保險憑證的售價卻高達20~40美元。FBI在2014年便曾警告醫療產業要對網路攻擊提高警覺，主要即起因於豐厚的回報與相對鬆散的安全標準。

根據美國身份竊盜資源中心（Identify Theft Resource Center，ITRC）今年3月公布的報告，醫療機構的資料外洩事件佔全美所有相關事件的32.7%，光是在今年第一季就有近1億筆的醫療紀錄外洩。資訊服務業者Experian的2015資料外洩年度報告則顯示，醫療產業資料外洩是今年最大的趨勢，估計其每年的資料外洩成本高達56億美元。

TrapX認為，鎖定醫療院所的網路攻擊行動在今年與明年勢必會增加，同時斷言，大部份的醫院皆已受到惡意程式的感染，而且是經年累月之後還未曾被發現。該公司強烈建議醫院要重新審視及更新與醫療裝置製造商之間的合約，要求對方明確提供裝置偵測、整治，與更新服務。

斯諾登專訪自爆：曾受特訓任間諜海外臥底 非底層僱員

鉅亨網新聞中心　　2014-05-29

香港《明報》綜合報導，美國全國廣播公司(NBC)「夜間新聞」(Nightly News)上周在莫斯科預錄訪問斯諾登，於美東時間周三(28日)晚上10時(香港時間今(29日)晨10時)播出。針對有評論人士稱他只是低層分析員，斯諾登予以否認，表示自己的情報資歷並非外界認為那麼少。

斯諾登稱，他曾以「技術專家」身分為CIA和NSA秘密工作，也曾為國防情報局的「聯合反間諜訓練學院」(Joint Counterintelligence Training Academy)擔任導師，「在那裏我開發了資源和方法，在全球各地最富敵意和危險的地方保護我方資料和人員」。

他告訴NBC主播威廉斯(Brian Williams)，美國現今傾向從電腦而非人身上取得更多、更精確情報，這已不是秘密。他說：「從字面意義來說，我當時受訓成間諜，在海外生活工作，假裝從事某種工作，甚至獲派1個假名字。我不與人共事，也不招募特工。我讓系統為美國運作，而我在所有階層待過，從基層到最高層都有……所以當他們(評論人士)說我是低層系統管理員，說我不知自己在說什麼時，我認為這有點誤導人。」

斯諾登日前接受德國雜誌訪問時透露，他曾親身參與截取德國情報的過程。德國國會本月初決定邀請斯諾登參與聽證會，但迄今未能就是否要求他親身出席達成共識。德國政府擔心斯諾登前往德國會為美德關係製造難題，但有國會議員堅持斯諾登應親自到柏林。

斯諾登對德國《明星》(Stern)雜誌說，他相信所有德國人的權利都受(美國監控)侵犯，並且有新資訊與委員會分享，若德國議員覺得他的資料無新意，他會感到訝異。他說，德國聯邦情報局(BND)亦曾使用美國的(監控)手法，所以柏林當局一些人不樂意聽到他的事。

去年6月，英美報章根據斯諾登提供的機密文件，披露美國以「稜鏡」為代號監察全球網絡，並搜集美國和全球數以百萬計的電話數據，又對外國領袖進行竊聽，隨後斯諾登逃離美國，曾躲在香港，之後在俄羅斯獲得臨時庇護

斯諾登在俄臨時庇護令將在6月底到期，律師拉達克(Jesselyn Radack)上月底透露，斯諾登獲續期的「前景良好」。她說，斯諾登想念美國和希望回家，但相信難在短期內發生。

斯諾登掌握的NSA監控計劃電腦文件相信多達170萬份。去年5月他在香港爆料，同年6月底秘密逃往莫斯科獲發臨時庇護令。俄羅斯總統普京上周表示，「俄羅斯不是引渡人權鬥士的國家」，美國應自己對斯諾登進入俄國機場中轉區負責任，暗示俄國不會放棄斯諾登。

美國政府去年控告斯諾登盜竊政府財產、擅取國防資料通訊，以及蓄意與未獲授權者交流機密情報。《紐約時報》上月底報導，斯諾登曾接觸擅長間諜案官司的著名律師卡切里斯(Plato Cacheris)，希望與聯邦檢察官達成認罪協議，換取回國及受較短刑期，但雙方似乎不會很快達成協議。

辱阿妹染性病 賤嘴網友找嘸

2014年05月26日  【賴又嘉、李志展╱蘋果日報台北報導】

藝人張惠妹去年底公開力挺同志族群多元成家，卻遭署名「謝德卿」的網友，在臉書上留言指阿妹「曾染性病」、「原住民不愛衛生」，還批同性戀是被邪靈附體，張惠妹憤而提告。不過，因臉書不願提供網友個資，台北地檢署無從確認「謝德卿」真實身分，日前全案無奈簽結。

開唱挺同志挨批

阿妹經紀人陳鎮川昨說：「還是不放棄在找他（指「謝德卿」網友），因為他在臉書身分是假的，這是道義問題，會堅持找到他。」《蘋果》聯絡不上臉書在台公關，不知回應。

阿妹去年十二月二十二日在北市華山免費開唱力挺同志，署名「謝德卿」的網友，二十日到阿妹粉絲架設的臉書專頁留言：「曾經在skype上一個台灣女生說張惠妹染過性病，我說你怎麼知道，她說有同學在當護士給她講的，我說性病不一定是淫亂引起的啊，有可能是不注意衛生，她說山地原住民本來就不愛衛生……。」引爆妹迷怒火。

「謝德卿」兩天後又留言：「張惠妹本來就淫亂，曾經感染性病，被醫院護士在外廣為傳播。她挺同性戀，應是情理之中。同性戀是被邪靈附體，應到教會請牧師禱告方能驅除邪靈。」阿妹憤而蒐證提告，相關留言事後均遭刪除。

檢方函詢臉書查詢「謝德卿」真實身分，但因臉書僅願協助偵辦殺人、擄人勒贖等六類案件，妨害名譽案不在協助範圍，檢方以無法取得「謝德卿」個資、ＩＰ為由，無奈將案件簽結。

疑受不了「秘密」 壯男燒炭自殺

【聯合報╱記者鄭宏斌報導】2014.05.25

日前中和區員山路上某公寓發現一具死亡多日的屍體，警方搜出房內證件，確認死者為34歲的邵姓男子，因房內密閉又有燒炭痕跡，研判自殺。邵男與家人失聯多年，其邱姓好友表示，邵男曾被「秘密」APP所困，在電話中曾沮喪的說，「想放棄生命」，疑想以死明志。

邵男曾在高雄某通訊行工作，100年時曾因竊盜遭媒體披露，據邱姓好友表示，邵為此自責不已，也展現改過自新的決心，但交友圈廣泛的他，還是因有前科而陸續遭到朋友或網友的批評。

「他們還是不肯放過我！」邱姓好友表示，邵男接觸過社交APP「祕密」 (Secret)，曾沮喪的向他抱怨，擺脫不了前科的陰霾，還有人在「秘密」裡在討論他曾偷竊的往事。邵男也曾在臉書PO文說，「也許我永遠到不了彩虹天堂」、「所以選擇一個人的未來」、「我不知怎麼面對過去與現在」等心情表述。

該手機社交APP「秘密」 (Secret)是一個「全匿名性」的社交軟體，整體相似於臉書 (Facebook)的運作，但因為「無代稱」、「無頭貼」的特性，無論是發佈消息或是回應，號稱能讓使用者更誠實的、更開放的做自己，對使用者來說是個「潘朵拉的盒子」。

警方表示，邵男自3月開始停繳房租，疑似失業。因鄰居向房東反應該樓層有異味，再加上邵男租金未繳，房東原要催繳，開門才後發現邵男已死亡。

22日晚間8點警方接獲報案，說有人可能在租屋內自殺、有異味，警方隨即到場與房東到邵男房間外，確認無反應後，房東用備用鑰匙開門，屍臭味瀰漫而出。邵男屍體已發黑浮腫，經警方相驗後證實，邵男已死亡逾4天的時間。

邵男遺體已在早上10點進行火化，大批網友湧進他的臉書致哀，希望能一路好走。但仍有網友在「祕密」APP上表示，「做過的事不能被輕易原諒」、「一碼事歸一碼事」、「臉皮真薄」等發言。

「科技獨行俠」開發軟體 捍衛比特幣交易

新頭殼newtalk 柯昱安/綜合報導

比特幣（BitCoin）近來隨著幣值飆升從虛擬躍上檯面，甚至成為黑市與有心人士的洗錢工具。在各國金管機構紛紛「釘上」比特幣之際，為保障使用比特幣交易的隱私，曾透過3D列印技術製作槍枝，有「科技獨行俠」之稱的威爾森（Cody Wilson），決定募款開發軟體，躲避執法部門對比特幣交易的監督。

根據《華爾街日報》（WSJ）報導，今年25歲的威爾森，將與10多名程式人才聯合開發這款名為「暗黑錢包」（Dark Wallet）的軟體，並透過募款來支助開發費用，據稱目前已籌措約35萬美元的開發經費（約新台幣1050萬元），且款項中有多數是比特幣。

儘管比特幣交易不須使用真實姓名，但透過追蹤交易的IP地址，還是能查詢某個使用者的交易情況。「暗黑錢包」這款軟體，會將形成比特幣的數字與字母串序列打亂，讓外界難以識別使用比特幣的用戶，以及其交易的項目為何。儘管當局擔心，暗黑錢包的誕生恐使黑市交易與洗錢活動更加活絡，但主導開發的威爾森稱，每個人都需要匿名的線上交易，「我不是想讓你買毒品，而是覺得你有這麼做（使用比特幣交易）的自由。」

報導也指出，目前全球有許多駭客、程式專家正熱衷於透過科技，來打破各種科技對於個人自由與隱私的束縛，80年代，這些科技迷多利用複雜的加密技術來保密通信，而現今新生代的科技迷，則是常常瞄準主流產品（如瀏覽器、開源軟體、iPhone等）進行開發，希望能產生全球性的影響。

威爾森有「科技獨行俠」之稱，於大學法學院輟學後不久，便曾於2013年透過3D列印技術製作一款名為「解放者（Liberator）」的塑料手槍，並將其設計圖公布於網路上，聲稱這款手槍可以躲避金屬的追查。

臉書的隱私權政策

Source: 劉宇的臉書發文

臉書公司在美國的 policy，如果要申請使用者的個人資料，只有在使用者可能涉嫌下列犯罪行為時，才會提供：
　
涉嫌殺人、擄人勒索、毒品、妨礙電腦使用、違反組織犯罪防制條例、違反兒童及少年性交易防制條例。
　
Example:

雖然那個在阿妹粉絲頁亂放話的『謝德卿』非常討人厭，（他可能甚至不是台灣人），但是妨礙名譽的部分，似乎無法跟美國臉書申請使用者個資。我想，大家只能眼睜睜的看著他持續謾罵，卻無法制止他！（嘆）

買隱私個資對付員工 IKEA法國執行長被捕

蘋果日報  2013年11月20日  【李寧怡／綜合外電報導】

瑞典宜家家居 (IKEA) 的法國分公司，去年遭披露向警方購買個資，用以對付參加工會的員工及向該公司求償的顧客。警方周一逮捕 IKEA 分公司執行長凡諾維貝克 (Stefan Vanoverbeke)、財務長瑞克 (Dariusz Rycher) 及前任執行長貝約 (Jean-Louis Baillot)，前天以共謀蒐集個資、違反隱私等罪名將他們起訴。

IKEA法國分公司則被要求提存50萬歐元（約2000萬元台幣）以支應未來的民事賠償；涉嫌販賣個資的4名警方文職人員也遭起訴。

法國媒體去年3月披露，IKEA以每筆個資80歐元（約3200元台幣）的代價，透過保安公司向警方購買至少200人的個資，內容涵蓋銀行帳戶、犯罪紀錄、與政治團體的關聯等。此案爆發後，IKEA分公司進行內部調查，已開除包括貝約在內的4名高階主管。