網站釣魚威脅大 保障密碼安全有撇步

http://tw.rd.yahoo.com/referurl/new...10n28ai03/*[url

更新日期:2007/04/09 09:00 「網站釣魚威脅大 保障密碼安全有撇步」(張德厚報導)

網路釣魚對於機密資訊的威脅與日遽增，資安公司統計，台北已經成為亞太地區擁有最多釣魚網站的城市，網路駭客會模仿銀行證券或線上交易等金融服務有關的網站，架設一個假的網站，再誘騙使用者輸入機密資料。賽門鐵克技術顧問總監王岳忠：『他網站架好之後，就會利用發e-mail的方式，通知你例如帳號沒有修改，或是太久沒有登入等理由，希望你去網站上填一些資料，通常這些資料就像是

信用卡號碼或是銀行帳戶等等。』例如銀行信用卡釣魚網站，就會要求使用者輸入信用卡背面的三碼檢查碼，得手後再進行線上刷卡消費。而除了金融資料外，釣魚網站也會要求使用者留下個人及其親屬的相關資料及聯絡方式，再流向詐騙集團，讓詐騙集團進行電話詐騙時有足夠的背景資料可以取信於人。除了騙取資料外，釣魚網站也會伺機對電腦植入後門程式，竊取使用者硬碟中的資料。王岳忠：『目前我們也看到一種新型態，就是他把釣魚跟入侵混合成一種，如果你的電腦本身防護不好，或是修正程式沒有裝，這些釣魚網站就會試圖下載一個程式到你的電腦中，就可以讓駭客日後做一些操控，甚至找資料都可以。』◎網路釣魚嚴重 地下經濟活躍根據資訊安全公司賽門鐵克的統計，光是去年（2006）下半年總就攔截到15億筆的網路釣魚訊息，平均每天至少有 848萬筆的網路釣魚訊息發生，網路釣魚最多的國家在美國，約占全世界的51%。不過亞太地區釣魚網站最多的城市，就是在台北，

南韓首爾是排名第二位，日本東京則排名第三。而被網路釣魚詐騙的對象，84% 與金融服務方面相關，包括政府核發之識別碼、信用卡、銀行卡、個人識別碼以及電子郵件地址清單等，都是網路釣魚想要竊取的機密資訊。資安公司進一步分析所攔截到的駭客資訊發現，經由網路釣魚所衍生出的「地下經濟」也越來越活躍，各種個人資料都有一定黑市價格。賽門鐵克技術顧問總監王岳忠：『一個美國的信用卡卡號的行情約為6元美金，如果掉的是線上銀行的帳戶密碼，而帳戶內還有1萬美金的餘額，在網路上可以賣到300美金，甚至連skype的帳戶也可以賣到12元美金。另外像是魔獸世界的帳戶，如果還有一個月的使用時間，也可以賣到十幾元美金。』◎電子化時代密碼多 安全設定不馬虎網路及電子化時代，幾乎每個人都有電子信箱、

部落格、網路家族會員、網路銀行、線上購物、線上付款金流平台等各種帳戶密碼，依照用途不同，對於密碼安全強度的要求也不同，早前申請電子信箱只要單純的四個數字就可以作為密碼，隨著駭客盜用帳戶密碼嚴重，現在至少要混用阿拉伯數字及英文字母達六個字元才能通過；而網路銀行的設定則更複雜，除了要輸入銀行帳戶外，還要輸入一組使用者代碼及密碼，使用者代碼及密碼，又要至少八個字元，不但要混用阿拉伯數字及英文，英文還要分大小寫，有些對安全性要求更高的網路銀行，還要求使用者輸入一組動態密碼。各種密碼、代碼一多，如果沒有經常使用，很容易就會忘記或者搞混，怎麼樣設定及管理才最安全呢？專家指出，如果所有帳戶都使用同一組密碼風險很高，但是都用不一樣的密碼要全部記住，而請分得清楚那個密碼是那個帳戶的也確實不容易，所以建議把可以把密碼分成三類設定，視不同的場合分別使用。賽門鐵克技術顧問總監王岳忠：『一組就是拿來註冊網頁網站到處去看的，如果會做線上交易或線上購物就需要另外一組，至於網路銀行或網上證券則再需要一組。』而密碼要如何設定才最安全呢？首先千萬不要用生日、身份證或者電話號碼等「懶人密碼」，因為非常容易被破解。密碼必須要混用多種類型並達8個字元強度才夠。王岳忠：『密碼強度要夠的話，最少要有八個字母，低於八的話比較容易被猜出來，第二個是說把英文大寫、小寫、阿拉伯數字及特殊符號這四種類型，最好混用其中三種。』專家也建議可以使用「中文詞彙式」的密碼，也就是說把鍵盤的輸入法切換成英文輸入，但是卻按注音輸入的位置打一個中文詞彙，例如打「巧克力」這個詞，因為是切換在英文輸入，所以打出來的就會是「ful3dkxu4」這個看似無意義的亂碼，不但安全性高，只要記住中文，就不會忘記密碼。22Ɔ"