https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=19de10adbaa1b2ee13f77f679fa1483a.2906&nosocial=1

觀點

杜絕網路犯罪先自救

2006 / 06 / 05
左恩燦
杜絕網路犯罪先自救

網路業者站起來!
這幾年網路遊戲迅速竄起,電腦網路安全的腳步卻沒跟上,遠遠超前的是犯罪者的作案手法與進度。李相臣表示,這些犯罪的起因,光是導因於遊戲電腦主機被入侵的就佔了七成。
就像是實體世界裡,除了警察追蹤辦案外,保全業者平時的巡邏、聯防,自家的門戶也得自己關好門窗一樣;面對如此嚴重的網路犯罪問題,除了警方加強網路辦案成效外,無論是網路業者或使用者本身,也應該再加強網路安全措施、提高安全意識,以及養成良好的電腦使用習慣,透過各方的努力才有可能使犯罪率下降。
特別是像遊戲寶物竊盜的諸多事件,李相臣認為,很多狀況是不能完全用刑法來解決的,「法律是教化的功能,要處罰的是真正的罪犯…」因此,遊戲案件要改善的關鍵應該是從業者安全機制的建立著手,他語重心長的表示,希望網路業者也要為自己的系統被駭、乃至波及客戶,扛起一半責任。另一方面,過去偵九隊考量到許多被駭業者本身也是受害者,在媒體上曝光公司名可能會造成另一波嚴重的商譽損失,特別是一些業者本身的安全防護措施都已盡人事但仍舊無法倖免的,在實務作法上都會保護被駭資訊而不使其曝光。
然而,因為被害人實在太多,基於保護民眾的權益,未來將不排除公佈一些犯罪數字,以及沒有為消費者善盡基本防護責任的網路業者,讓玩家可以得到完整的資訊、自己評估取捨遊戲業者。

呼籲駭客!請勿以身試法
針對駭客的不法行為,李相臣也慎重的呼籲,千萬不要再挑釁法律、以身試法。他感慨的說,以前曾耳聞一些偏差的說法,像是「駭客有兩種,一種是被偵九隊抓過,另一種是沒被抓過的…」,甚至曾看過人才招募的條件寫著:「曾經進出偵九隊者」。這種觀念都是非常不對的,駭客必須導正觀念;未來也將採更嚴厲的作法—對於那些專做壞事和想出名的駭客,都將移送法辦。

2005網路犯罪概況
去(2005)年的網路犯罪事件共2萬多起,電腦網路犯罪成長率上看35%,是犯罪類型中成長最高的,這些案件中,光是網路遊戲犯罪就有1萬4仟多起,在所有網路犯罪案件中佔60%,而遊戲、色情、詐欺加起來竟然高達94%,而且這些數字不過是浮出檯面的部份,未報案的潛藏案件還有多少,未知。如果網路業者和每個電腦使用者,仍然對這些犯罪態勢視而不見,仍然認為安全是網路警察或是設備廠商責任的話,那麼此時為這些數字瞠目結舌恐怕還不是時候。
李相臣表示,偵九隊下個月將召集業者進一步講解,希望透過更多的教育宣導,讓他們了解現階段的網路犯罪類型與趨勢,犯罪者的手法和心態,讓業者對因應的防範工具和自保之道更有方向感。

犯罪手段現形
這些多如牛毛的犯罪案件中,李相臣提出2005年最常見的入侵手段,以及現今正在擴張和翻新中的犯罪型態,期待這些犯罪手段和型態的現形,讓民眾更懂得保護自己。
惡意程式,不斷的透過即時通訊或是電子郵件方式散佈,然而防毒效果卻沒有隨著犯罪手法的長足而進步。
漏洞,駭客利用作業系統漏洞,發送病毒和進行攻擊是最慣性的手法,而受害者也為這些入侵帶來的損害疲於奔命。「補漏洞要像是巡邏的工作一樣,隨時去檢視和主動發現漏洞、進行程式掃描,才能降低風險。」李相臣補充道。
網路釣魚,到目前為止台灣還沒有抓到一個網路釣魚的犯罪者,犯罪者幾乎都是在國外,但是所架設的魚餌網站卻是在台灣,李相臣表示,這顯示了我們的安全做得太差,才被當作是犯罪的中繼站,而這些犯罪國家來源則有金磚四國的巴西、俄羅斯、印度、中國和德國等。
無線上網,如果對電腦不是非常熟悉,則不建議使用無線上網,因為溢波資訊太容易被利用,加上犯罪軌跡難以追蹤,因此無線上網常常成為不法之徒的新樂園。
跨國分工,隨著科技的進步和便利性,黑道的行徑和手段也不落後,另一個新興的犯罪型態正考驗著網路警察。李相臣表示,現在駭客正在被黑道吸收中,黑道已進行收買、甚至脅迫駭客,去入侵網路銀行或是國外合法的網路賭場。詐騙集團甚至以僱用大陸或台灣駭客方式,從大陸入侵台灣業者的系統(特別是金融業或對網路依存度高的業者,最常成為標的),或是把病毒工具寄來台灣後,找『車手』到網咖放病毒,歹徒以控制或癱瘓網路方式進行勒索取財。
面對此「變種」的跨國犯罪形式,偵九隊也將提報「治平專案」、以掃黑方式將此類駭客繩之以法。此外,也特別呼籲網路銀行的安全機制要做好,並且應該要求用戶的密碼強度,不要再設定「懶人密碼」。
手機惡意程式,由於手機功能和記憶體容量擴增,手機的惡意程式也逐漸衍生,其方便性也帶來不少的情色圖片和名譽毀損等法律問題;手機的謹慎使用需向大眾再多做教育宣導。
網路色情,網路交友的問題背後,常常為大陸色情集團染指,提醒每個電腦使用者,必須注意線上即時通訊軟體的視訊(WebCam)功能是否為被開啟狀態,且最好是將電腦移出房間到客廳,避免不必要的隱私損害。
電話詐騙,我們都很納悶「電話詐騙都有號碼為什麼破不了案?」,李相臣談到電話詐騙的型式—從大陸到台灣是透過網路、到台灣後再打行動電話,因此,要破電信犯罪案件亦需透過科技手段;未來偵九隊和便衣警察隊的資訊和通訊勤務也即將結合來因應。
網路截標,網路拍賣的問題非常嚴重,但事實上犯罪的技術性很低,大多是使用者觀念薄弱的問題。呼籲民眾多使用化名,避免被非分之徒猜到帳戶密碼,假裝賣方騙取買方錢財。李相臣表示,因這種簡單犯案方式的截標犯罪案件,每天就大概有數十件,真是可觀!但是防範方法也不過就是不要讓人家猜到你的帳號密碼爾爾。
盜版光碟和妨害名譽,因技術進步提供的方便性,此類案件也特別多,未來將大規模掃蕩,對大量非法下載MP3者將首當其衝,千萬別拿自己當白老鼠。
Botnet 傀儡網路問題,一個組織化的恐怖犯罪新型態犯罪模式正暗渡陳倉地醞釀著,2004和2005年在國外都已有控制Botnet的勒索、恐嚇案件發生,雖然台灣目前尚無案件發生,希望這只是風雨前的寧靜。
電腦被植入Bot 後門後並不會被發現,然而,當駭客發動攻擊時,這些被植入的木馬就是犯罪者的傀儡軍隊;李相臣表示,據了解台灣已有1/3的電腦被植入Bot,而以台灣的人口數和電腦數來說,受害程度竟然排行到全世界第6名,駭客可能彈指間就能癱瘓台灣電腦。如何開發Botnet掃描工具以因應,是很迫切的需求。
郵件轉寄,主管郵件被轉寄導致資料外洩也是屢見不鮮,並且幾乎都是離職員工所為。員工一離職就得馬上將其帳號密碼更改設定,其實都是很簡單的事情,但是卻因內部管理不當和一時疏忽而後悔莫及。
同時,電腦資料勒贖相關的犯罪情形也日益嚴重。
遊戲伺服器,除了是駭客的競技場外,也是網路犯罪者的新天堂,遊戲伺服器被駭導致玩家的損失,這類案件是造成犯罪率居高不下的主因。令人不禁要質詢和檢討業者,為什麼安全做得那麼差!?
網頁隱碼攻擊,去年金融單位被駭的情形時有所聞,駭客在金控公司網頁中植入網頁木馬,任何人只要上網就有可能遭植入後門程式,將帳號密碼都被拿走,影響程度和波及範圍都相當深遠。受害單位常因為擔心家醜外揚而不敢報案,但李相臣呼籲受害單位應勇於和警察單位配合,受害單位的資料是可避免在媒體曝光的,正向的處理才能避免繼續擴散。
搶票系統,年前台鐵搶票案件或許你還記憶猶新,雖然諸多民眾的不便已造成,但最後因無法證明系統損壞,所以此駭客行為並不構成犯罪。類似的情形不勝枚舉,只能請業者自保。

資安專責、用戶自保
在許多大陸駭客入侵案件中,也有已確定被入侵了但是卻無法找到後門程式的情形,此時唯一能做的,只有立即離線以阻斷入侵,更慘的是硬碟只能重新格式化(format)。如果連資料備援機制都沒有的話,業主也只能欲哭無淚。
李相臣不諱言表示,「網路犯罪的破案率是非常低的,因此更希望的是,使用者能夠知道如何去保護自己」,事實上從發生的案件看來,許多犯罪的手法是非常低階的,防範工作也非難事,但往往是因為被駭單位的安全意識不足而造成損失。改變電腦的使用習慣是個好的開始,例如,看到附加檔案就不加思索的打開檔案是很危險的,必需先將副檔名顯示出來,檢查是安全的副檔名、確認寄件來源無誤後再開啟。或是依公司性質設定一些檔案陷阱,例如:客戶資料檔名的檔案,檢視系統是否被入侵。
「資安工作一定要用專責,不要用兼職方式。平常沒事不表示天下太平,而是應該去『巡邏』,才叫資安」李相臣表示。他同時也強調備援機制的重要性,許多規模算是頗大的公司連備援都沒做,可以說是拿自己公司全部的資產『梭哈』。


結論
許多網路電腦犯罪案由於法律未明確規範,或目前工具技術還沒到位,增加了破案的困難度,這是各界要一起努力的。李相臣也談到,目前台灣的鑑識工作仍非常困難,需要更多人才的投入。國外的數位鑑識實驗室數量很多,但目前台灣一個也沒有,現在偵九隊也在規劃一個數位鑑識單位,即將就緒,希望未來慢慢地擴大建置此部份。
安全聽起來並不難,而是做不做的問題比較大。如果不想成為下一個受害者頭條、或是跳板工具的冤大頭,還是先從自救做起。