2012年以來「水坑式攻擊」的惡意程式攻擊事件,成為最新的資訊安全話題,包括臉書(Facebook)、蘋果(Apple)及推特(Twitter)都是受害者。資安業者預估,2013年這一類的攻擊將更廣泛的出現。

根據賽門鐵克(Symantec)公布的網路安全報告指出,台灣整體網路威脅名列全球第9名,在開發中國家僅次於印度及巴西;再者,台灣殭屍網路的數量是全球第3名,成為台灣網路安全的隱憂。賽門鐵克資深技術顧問張士龍博士也指出,2012年惡意程式激增,針對行動裝置的威脅大幅成長了6成。

個人電腦、智慧型手機等行動設備愈來愈普及,隨之發生的資訊安全事件也愈來愈多,過去盛行的「魚叉式網路釣魚」在2012年發展出新的攻擊手法,也就是像獅子躲在水坑,伺機而動的「水坑式攻擊」,這些攻擊者入侵組織或網站,在上面置入相關惡意程式,一旦有人連進這些網站或電腦時就會遭到攻擊。

張士龍強調,「水坑式攻擊」是有系統嚴謹分析的,首先攻擊者會分析被害者平時喜歡瀏覽的網站,進行行為喜好分析,攻擊者再去測試網站存在的漏洞,攻擊者入侵網站後以放置連結方式讓受害者點選執行惡意程式碼,攻擊者就在伺服器這邊等待受害者上鉤,因為行為模式就像獅子的攻擊,所以就稱為「水坑式攻擊」。而「水坑式攻擊」可以在短時間內造成大規模的損害,舉例來說,2012年犯罪集團Elderwood所發動的1個水坑式攻擊,可以在1小時內感染500家企業。

行動裝置普及,也讓行動惡意程式成長幅度高達6成,其中32%行動威脅是竊取電子郵件帳號、手機號碼資訊等。從設備來看,2012年的行動漏洞增加3成,其中蘋果的iOS系統漏洞高於Android系統,但是在Android上發現了103個威脅,iOS僅只有1個。張士龍認為,Android的市佔率、開放平台特性及其多種程式通路,都讓Android成為惡意程式攻擊者首選的平台。

賽門鐵克公布的數據也顯示,250人以下的中小企業遭到針對式攻擊有持續增加的趨勢,這類的攻擊佔整體攻擊的31%。針對式攻擊中又以「網頁攻擊」增加了3成最多,中小企業被感染網站後,隨後就可能被利用來做為大量攻擊。值得注意的是,中小企業通常不認為自己會成為針對式攻擊的目標,也欠缺安全防護系統,因此成為網路犯罪竊取金融資訊、客戶資料及智慧財產權的目標。

製造業也取代政府機構成為2012年以來最常受到駭客發動針對式攻擊的產業,主要是透過這些專業人員可能具備較高專業技術及智識,有機會擷取較專門的資訊進而去竊取資料。

小知識--魚叉式網路釣魚:鎖定特定人員及其相關資料所做的針對性攻擊,如人事HR對人才、工作機會相關資料重視,網路釣魚就會在這些資料中放進惡意程式,讓人在不知覺中使用。