駭客利用PayPal漏洞進行網釣竊取資料

eBay旗下的金流機制PayPal在上周修補了一個描述性程式漏洞，該漏洞可讓駭客潛入PayPal首頁，並在使用者登入時提供惡意訊息，再將使用者導至偽造的網頁上套出使用者個人資料。

英國的一家網路偵測業者Netcraft公告指出，透過這個PayPal網站上的漏洞，駭客可以套出使用者的PayPal帳號、社會安全碼及信用卡資訊。此次駭客先利用該漏洞在PayPal真正首頁上丟出一個使用者帳號可能已被危害的訊息，並誘導使用者連到一個偽造的解析中心（Resolution Center），之後再探知使用者各項機密資訊。

Netcraft還查出這個偽造的解析中心的網站伺服器是位於韓國。

Netcraft員工Mike Prettejohn表示，網路釣魚詐騙手法如果是透過電子郵件總是有些蛛絲馬跡可循，但此一跨網站的描述性技術讓網釣詐騙難以辨識，此一技術原本是用來讓不同的網站可以傳輸資料，但它天生就具備了安全風險。

PayPal發言人Amanda Pires表示，在該公司得知此一漏洞後，便儘快更改了PayPal網站上的程式碼，因此像上述的網釣方式或類似的方式都不再有效。（編譯/陳曉莉）