賽門鐵克報告指出惡意攻擊行為已鎖定受信任的網站為目標

賽門鐵克發佈的最新賽門鐵克全球網路安全威脅報告 (ISTR)第 13 期指出，相對於網路攻擊(Network Attack)行為，網頁應用程式(Web)已經成為主要的攻擊活動管道，而且越來越多的線上使用者僅因為造訪常去的網站而遭到感染。這份報告是根據數百萬個偵測器所收集到的資料、第一手研究資料與主動監控駭客通訊並加以分析，以全球的角度來檢視網路安全狀態。

在過去，使用者必須造訪意圖不軌的惡意網站或是點選惡意的電子郵件附件，才會遭到安全性威脅的感染。在今天，駭客竄改合法受信任的網站，並利用它們做為傳播的媒介來攻擊家庭與企業用戶的電腦。賽門鐵克注意到攻擊者特別鍾情於使用者容易信任的網站，例如社交網站等。

攻擊者利用特定的網站弱點做為發動攻擊行為的跳板。在 2007 年下半年，總共有 11,253 件與特定網站相關的跨站攻擊弱點(Cross-site scripting vulnerabilities)案例，這些弱點代表了個別網站上的安全缺失。但是，其中只有 473 件 (大約佔 4%) 會在同一段時間被系統管理員注意並修正漏洞，代表駭客仍舊有許多機會可以發動攻擊。

同時，網路釣魚也是個棘手的問題。在 2007 年下半年，賽門鐵克一共發現了 87,963 部網路釣魚主機，亦即控制了一或多個網路釣魚網站的電腦。與 2007 年上半年相比，這個數字足足成長了 167%。在這項報告的研究期間，網路釣魚攻擊所瞄準的品牌當中有 8% 都屬於金融業。

此報告同時發現攻擊者會探索機密的使用者資訊，藉此用來從事詐欺行為並騙取不當利益，然而相較之下，攻擊者卻較少針對存放在這些電腦或裝置的其他資料。在 2007 年下半年賽門鐵克所接獲的通報當中，最常見的惡意威脅裡有 68% 都嘗試竊取機密資訊。


最後，攻擊者正充分利用漸趨成熟的地下經濟(underground economy)來收購、銷售與交易竊取的資訊。這種經濟模式已經與傳統經濟模式擁有一些共同的特徵。例如，市場供需力量會對價格造成直接的影響。在這種環境下的信用卡資訊已經出現供應過多的現象，刊登數量在本期也隨之下降，佔了所有非法商品的 13% (上一期則是 22%)，售價也跌到了 $0.40 美元。這種地下經濟的信用卡資訊的價格也會受到發卡銀行地點等因素所影響。例如，歐盟地區發行的信用卡資訊會比美國地區發行的信用卡資訊價格高一點，這是因為歐盟地區發卡量與流通量都比較低，由於供給量較少，對網路犯罪者來說價值也較高。地下經濟裡，又以銀行帳戶資料最為搶手，是最為熱門的廣告商品，在所有銷贓的商品中佔了 22%，而且只要 $10 美元就買得到。

其他重要發現
• 在 2007 年，賽門鐵克一共偵測到 711,912 件新的威脅事件，相較於2006 年的 125,243 件，不僅大幅提升了 468%。而賽門鐵克在 2007 年底所偵測到的惡意程式碼威脅總數更增加到 1,122,311 件。
• 賽門鐵克針對報告期間的某個時間點衡量了合法與惡意的軟體發行量，發現在 54,609 個公開發行的應用程式當中，有 65% 的比例都被歸類為惡意。這是賽門鐵克首次發現惡意軟體數量超出合法應用程式。
• 在所有的資料外洩事件(data breach)當中，起因於電腦或其他裝置遭竊或遺失在2007 年下半年佔了 57%，而在上一個報告期間則是佔所有回報資料外洩事件的 46%。
• 政府機關是深受身分洩漏所苦的最主要產業階層，佔所有身分洩漏案例的 60% (在上一個報告期間只佔 12%)。
• 在地下經濟體系下，最低只需要花費 $1 美元的代價，就可以買到完整的身分資料。

相關引言
• 賽門鐵克安全技術與應變中心副總裁 Stephen Trilling表示：「在過去，避免在網路的世界中走入暗巷可以保護自己的安全。然而，今日的犯罪型態已經轉向破壞合法的網站並對使用者發動攻擊，如此一來，不管身在網路世界的任何一個角落，或是從事哪些行業，使用者都需要堅固的安全措施來保護自己不受侵害。」
• BankUnited副總裁暨資訊安全經理Adriano Diaz表示：「隨時提高警覺並注意威脅態勢的最新發展對於維護網路使用安全扮演著關鍵性的角色，賽門鐵克《全球網路安全威脅研究報告》持續針對最新線上安全趨勢提供我們相關重要資訊，協助我們更完善地保護資訊安全。」

相關連結
若想知道更多當今網路使用者所面對威脅的詳細資料，請參考以下連結:
• 賽門鐵克全球網路安全威脅研究報告XIII – 下載完整報告.
• 跨站攻擊專案 (XSSed Project)– 瞭解更多跨站攻擊弱點（cross-site script vulnerabilities）資訊
• Attrition.org 資料遺失歸檔與資料庫 – 查看資料遺失的公開資訊
• SecurityFocus安全聚焦 – 探索安全資料庫以及針對軟體弱點的討論

TECHNORATI TAGS:
Symantec, Norton, Internet Security Threat Report, cybercrime, hackers, phishing, social networking, identity theft, Internet security, data breaches, viruses, malicious code, vulnerabilities

關於賽門鐵克
賽門鐵克公司是全球領先的安全、儲存與系統管理解決方案供應商，協助企業與個人消費者保護與管理資訊。公司總部設在美國加州的 Cupertino，現已在 40多個國家設有分支機構。要瞭解更多相關資訊，歡迎瀏覽賽門鐵克公司網頁: http://www.symantec.com