Google公布常见账号窃取手法，网络钓鱼比骇客入侵更严重
我们很常听到某某骇客组织入侵了某某公司的服务器，盗取了多少多少的账号资讯，特别是信用卡资料。听起来这些大厂们好像永远都可能被骇客攻破，并且害大家的资料被盗取，信用卡被盗刷，但是根据 Google 的说法，他们统计了一年份的账号被盗资讯，发现大多数账号被盗用的原因主要还是以 网络钓鱼 攻击为主，反倒是常听到的键盘侧录（keylogging）或是主机被攻破的损失还没有网络钓鱼来得大：
▲Google 一个账号可以使用多种服务，但里面的个人隐私资料也是骇客的目标之一。（图片来源）
网络钓鱼攻击听起来是个老套的方案，但他仍然存在，就代表这种方式仍然很有用。过去我们很少见到有网络公司专门研究账号被盗取的原因，但 Google 却在这个领域上仔细研究，并有了看法。该公司与加州大学合作，分析了数个案例，研究骇客如何入侵别人的账号。从 2016 年 3 月到 2017 年 3 月之间，该公司统计了相当多资料，统整出一些重要的发现。
Google 研究了这些账号被入侵的方式，并追踪了相当多个交易第三方账号密码的组织，以及一些透过网络钓鱼攻击窃取的账号资讯。还有因为骇客从第三方入侵系统得来的账号。据统计，骇客通常会窃取相当庞大的账号量，但有许多是无效的账号，成功率大约 7%。而网络钓鱼与键盘侧录得来的资料则准确的多。有 12至 25% 的成功率：
▲键盘侧录跟网络钓鱼已经不是什么新手法，但得手的实力不比骇客直接攻破防线获取资料的方式差。（图片来源）
不过，最近的登入机制不仅是获得账号密码就能窥探到使用者隐私资讯，因此骇客除了偷账号资讯外，还得尝试将验证账户持有者身份的资料一起偷走。打个比方来说，有的账号会认真的设定“安全问题”，只要登入 IP 不同时，就会询问这些问题。有的可能会需要手机认证，也就是两阶段认证的形式，这些都降低了账户真正被窃取的风险。
Google 的统计中显ˋ是，有 82% 的网络钓鱼工具 跟 74% 的键盘侧录工具会去收集用户的 IP 地址跟位置，而有 18% 的工具会收集电话号码跟登入装置的型号来伪装登入：
▲网络钓鱼至今仍然是窃取账户资料的常见手法（图片来源）
如果将这几种攻击方式做个排名，Google 研究报告给了网络钓鱼第一。其次是键盘侧录工具，反而看起来破坏力最强的骇客攻击排在最后。
Google 的研究结果往往也会直接应用在自家的账号安全保护上，像是最近 Google 推出 Advanced Protection 功能，为那些名人、政要等容易被攻击的目标提供更进一步的保护。Google 在研究报告的最后也特别建议使用者放弃那些容易被解密的密码跟保护方式，最好是使用密码生成器来产生复杂的密码，也启用双因素身份认证，使自己的账号比先前“裸装”的状态多了几分防护。
消息来源：Google Security Blog
标签: 资讯头条 kotoo科技资讯 kotoo科技 kotoo科技资讯头条 科技资讯头条 KOTOO商业产经 新闻网 科技新闻网 科技新闻 Kotoo科技新闻网 Kotoo Kotoo科技新闻网 科技新闻 新闻网 KOTOO商业产经 科技资讯头条 kotoo科技资讯头条 kotoo科技 kotoo科技资讯 资讯头条 Kotoo Kotoo科技新闻网 科技新闻 科技新闻网 新闻网 KOTOO商业产经 科技资讯头条 kotoo科技资讯头条 kotoo科技 资讯头条
