LINE 祭出帳號安全防護妙招 PinCode 機制讓網路攻擊無所遁形

LINE 在台灣有 2,100 萬用戶，即表示幾乎人人都使用 LINE 來與他人進行交流，有鑑於網路詐騙盛行、社群資安不時有新的攻擊手法。為此，LINE 資安團隊持續積極佈建資安防護措施，致力於保護用戶隱私安全，希望為用戶維持一個安全安心的網路使用環境。

為提醒用戶留意網路攻擊行為的不同樣貌，LINE 公布自去（2019）年開始的「反社群軟體濫用（Anti-abusing）」專案近期一些較常見的網路攻擊行為案例，說明 LINE 如何以 PinCode（認證碼）機制確保用戶安全。

QR Code 登入遭盜用帳號危機

LINE 資安團隊表示，日前有網路攻擊者將其電腦的 QR Code 登入連結夾帶至釣魚訊息中，再利用像是「明星私密影片外流」、「免費貼圖」等聳動標題與資訊，轉貼至不同的 LINE 群組或聊天室，試圖引誘用戶從手機的 LINE App 中授予攻擊者電腦取得 LINE 帳號登入權限，但部分用戶因未留意登入頁面的提醒訊息，而直接點選「登入」按鈕，亦即授權攻擊者電腦登入用戶的帳號，因此導致帳號遭盜取。

LINE 在發現此類攻擊後，於第一時間以公告提醒，然仍有用戶遭盜用，因此 LINE 即刻將桌機版新增 PinCode 二階段驗證方式：當系統發現用戶即將於陌生的裝置上以 QR Code 登入帳號時，必須在行動裝置的 LINE App 輸入於陌生設備上顯示的一次性認證碼（PinCode）進行雙重認證，以確認登入者為本人；若用戶未於手機上輸入該次 PinCode，攻擊者便無法從遠端設備登入該帳號。

由於一次性的 PinCode 效期很短，即便攻擊者成功誘騙用戶點擊釣魚連結，也必須在短時間內說服使用者於 LINE App 中輸入有效的 PinCode，因此大幅增加了釣魚攻擊的難度、有效的降低攻擊成功率。

同時，為了避免攻擊者在加入 PinCode 驗證後，仍然成功誘騙使用者完成 PinCode 驗證機制，系統在每次使用者登入後，會即時發出系統提醒，告知用戶有設備正從何處登入其 LINE 帳號，提醒用戶確認是否為正常登入，用戶即可在第一時間得知有不明人士登入自己帳號後，能立刻從通知訊息內提供的登出連結，將現有登入連線中斷以保障帳戶安全；用戶也可藉由「設定→我的帳號→登入中的裝置」檢查目前所有登入中的裝置，若用戶察覺有異常登入之裝置時，亦可立即點選登出選項，終止遭不明來源登入的情況。

攻擊者濫用 LINE Social Plugin 入侵用戶帳號  

有些網路犯罪團隊收集網路上各個數位資料庫的外洩資訊，製作帳號密碼清單，並透過該清單嘗試入侵用戶於不同社群網站的帳號，更利用 LINE Social Plugin 的分享功能，將釣魚訊息的連結貼在受害者的 LINE 貼文串、受害者的好友或群組聊天室，以誘導他人點擊。這些資訊不外乎謊稱熱心分享資安小知識，進而要求用戶重新驗證帳號密碼、電話號碼以及簡訊驗證碼，藉此盜用受害者好友的 LINE 帳號。

此類的案例亦可藉由 PinCode 的二階段驗證機制防範，當用戶在陌生裝置首次登入或使用 LINE Social Plugin 分享或轉貼文章時，須透過 PinCode 完成身份驗證，確認該動作為用戶本人所執行。透過 PinCode 二階段的驗證，可在用戶帳號密碼外洩時，額外提供一道保護機制，協助用戶一同抵抗釣魚攻擊。

LINE 提醒用戶，詐騙行為與假訊息一再改變，為確保自身帳號的安全，用戶除了可以透過 LINE App 內建的安全機制保護自己外，也請記得 1) 在點擊來路不明的連結前，務必再三確認訊息及其來源，2) 不要隨意於不明的網站輸入自己的帳號密碼。3) 萬一不小心將 PinCode 認證碼交予他人時，請立即透過裝置查詢功能將不明的登入踢除，並利用 LINE App 修改登入密碼。欲了解更詳細保護帳號安全的步驟，可參考：Keeping your account safe​