捕夢網 Blog

資安專家：瀏覽器永遠不要存信用卡資料

pumoadmin55 — Mon, 31 Mar 2025 01:14:54 +0000

不論是用Uber Eats叫外送或是上電商網站網購商品，透過網路刷卡消費是很常見的行為。

若你沒把信用卡號背熟，在進入刷卡網頁時，你可能需要從錢包掏出信用卡，逐個輸入號碼。有些人為求省事、方便，會直接把信用卡資訊儲存在筆電、桌電或手機裡，但網路安全專家表示，這是絕對不該做的事情。

網路安全服務公司Fortalice Solutions戰略長歐蕾莉（Melissa O’Leary）表示，「把信用卡資訊儲存在瀏覽器裡可能很方便，但若你的裝置遭到入侵，就會暴露在一連串風險當中。」

「你儲存起來的付款資訊，會成為網路罪犯輕易下手的目標。」

曾經擔任白宮行政辦公室負責人首席幕僚的歐蕾莉，與其他專家一同解釋你的信用卡資料會如何失竊，以及如何保護自己。

詐騙會怎麼偷你的信用卡資訊？

若你把金融資訊儲存在瀏覽器，駭客有超出你能想像的各種方法可以偷走你的信用卡或簽帳卡號。以下是幾種最常見的做法：

‧偷走你的手機、電腦或筆電：

不管你再怎麼小心，這些東西還是可能會失竊，這是偷走你儲存資訊的簡單手段。

Point Wild科技長、網路安全專家拉姆詹（Zulfikar Ramzan）表示，「如果壞人取得你的電腦，不需要是犯罪天才也可以偷走你的付款資訊。」

‧用公用Wi-Fi網路取得你的資訊

在咖啡店或是圖書館工作的時候，要注意一件事，那就是公用Wi-Fi網路並不安全。別人可以透過公用網路進入你的電腦。

‧使用惡意軟體或間諜軟體

他們可能透過網路釣魚手法、網站、直接連進你的電腦及其他手段，神不知鬼不覺地把這些軟體安裝在你的筆電裡面。

‧透過資料外洩和駭客攻擊竊取資訊

歐蕾莉說，「我見過一些案例，受害者儲存的信用卡資訊在資料外洩事件中被盜，等看到信用卡帳單的盜刷交易時才發現。」

「我也見過另一種不幸的情況，是有人把個人銀行資料存在公司的裝置裡，然後外洩，而處理這些爭議交易和重新取回帳號的過程很耗時間又令人沮喪。」

‧利用「憑證填充攻擊」或接管帳號

所謂的「憑證填充」（Credential Stuffing，也稱撞庫攻擊）是一種網路攻擊，從某項服務的資料外洩獲取憑證（或用戶名、密碼、電子郵件等等），用來嘗試登入另一個無關的服務。

例如駭客可能會入侵大型百貨公司，取得使用者名稱和密碼清單，使用相同的登入憑證來嘗試登入銀行網站，希望同時擁有被駭百貨與銀行帳號的受害者，粗心大意地使用了相同的使用者名稱和密碼。

由於黑市交易中有大量憑證外洩，憑證填充已普遍存在，再加上可以使用機器人繞過傳統登入保護，使憑證填充成為大受歡迎的攻擊手段。

由於網路瀏覽器會把資料儲存在多個地方，駭客可能不費吹灰之力取得這些資訊。

如何保護自己？

歐蕾莉建議主動採取反制措施，確保帳戶安全。

專家的建議是：

‧停止把信用卡資訊存在裝置裡

你最簡單也最好的選擇，就是永遠不要按下「儲存」鈕。你還是可以用手機或筆電買東西，但每次都要一個數字一個數字輸入信用卡號。

「當你手動輸入卡號，風險就只存在交易期間，」拉姆詹說，「但如果你把資訊儲存在瀏覽器中，風險就一直存在。」

‧用更安全的方式儲存資訊

與其存在瀏覽器裡，拉姆詹建議使用專門的密碼管理工具，用加密工具儲存密碼。

他補充說，銀行常常提供虛擬或代碼化的卡號，這些卡號如果被破解，可以立刻輕鬆停用，保護你的主帳號安全。

另一個選擇是把資訊存在蘋果錢包Apple Wallet裡。

芝加哥聯合銀行（ABOC）資安長麥斯威爾（James Maxwell）指出，「Apple Wallet會把資訊經過強力加密，存放在你的iPhone、iPad或手表裡。」

「Google錢包做法相同，但可能會把更多資訊存在自家雲端，使你的數據比較容易遭受攻擊。」

不過如果你的手機被偷，那就沒輒了。

‧啟動兩階段驗證（2FA）

系統會要求兩種方式做驗證，例如輸入密碼後，再傳送驗證碼到手機，讓你輸入。

歐蕾莉建議不論你的金融資訊儲存在哪，都啟動兩階段驗證。

‧仔細檢視銀行帳單

定期檢查你的帳單，最好是在網路上，就能比紙本帳單更頻繁檢查，及早發現可疑交易、處理問題。

‧安裝聲譽良好的防毒軟體

這樣一來，你就可以在惡意軟體入侵前搶先封殺。企業常用的軟體是McAfee和Norton。

拉姆詹鼓勵經常更新你的瀏覽器和手機。「很多攻擊利用的弱點，可以透過一次簡單的更新來補強。」

‧下載、點擊時要小心

拉姆詹建議，下載來源不明的檔案、點擊來源不明的連結時，要非常小心。尤其是彈出視窗、免費軟體或「系統修復」類的廣告，都是駭客常用的手段。

還是很想在瀏覽器儲存信用卡資訊怎麼辦？

‧只存一張卡

這樣一來，就算出事，你也只需要擔心、停用、取代一張卡，也更容易偵測可疑交易。

‧存信用卡

拉姆詹指出，不是所有支付卡的安全和追討權都一樣。信用卡通常防詐保護最強，禮品卡最弱，而簽帳卡則介於兩者之間。

文章來源

The post 資安專家：瀏覽器永遠不要存信用卡資料 first appeared on 捕夢網 Blog.

駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式

pumoadmin55 — Mon, 31 Mar 2025 01:12:15 +0000

要求使用者依照特定指示操作的網釣攻擊手法ClickFix，近半年接二連三出現，如今出現專門針對特定行業的攻擊行動，引起研究人員關注並提出警告。

微軟威脅情報團隊從去年12月的旅遊旺季，察覺專門針對旅館業者的ClickFix網釣攻擊行動，駭客組織Storm-1865假借訂房網站Booking.com的名義發送釣魚郵件，意圖散布能竊取多種帳密資料的惡意程式。值得留意的是，這波攻擊行動仍在持續進行當中。

駭客攻擊的範圍相當廣泛，涵蓋北美、大洋洲、南亞及東南亞，歐洲北部、南部、東部、西部都有災情。遭到攻擊的目標存在共通點，那就是大部分都與Booking.com有合作關係。

在這波攻擊當中，駭客先鎖定可能與Booking.com合作的旅館及相關人士，假借該訂房網站名義寄送惡意郵件，信件內容相當多元，包括旅客的負面評論、潛在客戶需求、網路促銷機會，以及帳號驗證等。然而，這些郵件存在共通之處，不是內文包含URL連結，就是挾帶的PDF附件存在URL，駭客引誘收信人點選，對Booking.com進行回覆。

然而收信人一旦點選，就會被帶往冒牌的Booking.com網站進行CAPTCHA圖靈驗證，要求依照指示操作，先透遇快速鍵開啟執行視窗，然後貼上駭客的命令並執行，從而在受害電腦植入各式惡意軟體。

這些惡意程式包含XWorm、Lumma stealer、VenomRAT、AsyncRAT、Danabot、NetSupport RAT，此外，研究人員也看到下載PowerShell、JavaScript程式碼的情況。

而對於上述的惡意程式及程式碼，微軟指出都具備竊取財務資料及帳密資斗的能力，攻擊者再將其用於詐欺活動。不過，Storm-1865假冒Booking.com從事攻擊的情況已有前例，2023年這些駭客使用類似的社交工程手法，打著該訂房網站的名號，鎖定旅館房客散布惡意程式。

文章來源

The post 駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式 first appeared on 捕夢網 Blog.

WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下

pumoadmin55 — Mon, 31 Mar 2025 01:04:35 +0000

提供網站防護功能的外掛程式一旦出現漏洞，不僅可能讓其防護能力失效，還有可能讓攻擊者對網站上下其手，而最近專精網站安全的資安業者Patchstack揭露的漏洞，就是這種例子。

3月20日Patchstack警告WordPress資安外掛WP Ghost存在重大層級的本機檔案包含（Local File Inclusion，LFI）漏洞，若不處理攻擊者有機會遠端利用漏洞，從而執行任意程式碼（RCE），這項漏洞被登記為CVE-2025-26909，CVSS風險評為9.6（滿分10分），相當危險，研究人員呼籲網站管理者應儘速套用5.4.02版外掛程式因應。

WP Ghost是相當受到歡迎的免費資安及防火牆外掛程式，有超過20萬個WordPress網站採用，號稱每個月成功封鎖9百萬次暴力破解嘗試，以及阻斷14萬次入侵。而對於如何強化網站的安全，開發者表示此外掛程式能變更或隱藏常見的漏洞，使得駭客或網站機器人難以利用WordPress、外掛程式、佈景主題的弱點。

這項漏洞之所以形成，Patchstack指出，由於使用者透過URL路徑輸入的數值驗證方式不夠完備，導致有心人士可趁機讀取或執行本機電腦的檔案（LFI）。研究人員特別提及在大部分的環境組態下，這項漏洞的存在，都有可能讓攻擊者有機會發動RCE攻擊，而且，攻擊者不需通過身分驗證就能利用這項弱點。

不過，攻擊者想利用這項漏洞利用還是有門檻要克服，那就是：必須設法將WP Ghost的變更路徑功能設置為Lite模式或Ghost模式，而在系統預設狀態之下，這些模式會是停用的。

文章來源

The post WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下 first appeared on 捕夢網 Blog.

FBI嚴正示警！300家關鍵基礎設施機構遭駭這款勒索病毒曾害學校洩漏數十萬份個資

pumoadmin55 — Tue, 18 Mar 2025 02:18:15 +0000

（示意圖／pixabay）

[周刊王CTWANT] 美國聯邦調查局（FBI）與美國網路安全與基礎設施安全局（CISA）近日對一款名為Medusa的勒索軟體發出警告，這款「勒索軟體即服務」（RaaS）自2021年起便持續攻擊各大機構，近期受害者人數更大幅上升。根據CISA報告，Medusa主要透過網路釣魚手法竊取受害者憑證，並利用漏洞滲透企業與政府機構系統，攻擊對象涵蓋醫療、教育、法律、保險、科技與製造業等產業。先前也曾害一間學校因此洩漏數十萬份學生敏感個資。

綜合外媒報導指出，Medusa採用雙重勒索模式（double extortion model），在加密受害者數據後，威脅若不支付贖金，將公開洩漏這些資料。該組織設有資料洩漏網站，會列出被攻擊的受害機構，並附上倒數計時器，顯示何時將公開資料。受害者可以支付1萬美元的加密貨幣來延長倒數計時一天，若未支付贖金，數據則可能被販售給第三方。

CISA指出，自今年2月以來，Medusa已攻擊超過300家關鍵基礎設施機構，其中包括政府機構、金融企業與教育機構等。該組織的附屬駭客利用CVE-2024-1709（影響遠端存取工具ScreenConnect的漏洞）與CVE-2023-48788（影響Fortinet安全產品漏洞）來發動攻擊，滲透系統後再展開勒索行動。

與部分單獨運作的駭客組織不同，Medusa採用附屬模式（affiliate model），也就是開發者負責管理勒索談判，而實際執行入侵的則是透過網路犯罪市場招募來的駭客，這些駭客可以獲得100至100萬美元不等的報酬，甚至有機會成為Medusa的獨家合作夥伴。

當受害者的系統被感染後，Medusa會要求受害者在48小時內回應，若無回應，駭客將直接透過電話或電子郵件聯繫對方，並進一步威脅公開資料。

FBI的調查顯示，一些支付贖金的受害者甚至會再次遭到Medusa成員勒索，對方聲稱「原先的談判代表竊取了贖金」，並要求受害者再支付一半的款項才能取得真正的解密工具，這代表著該組織可能正在實施「三重勒索模式（triple extortion）」。

Medusa最廣為人知的攻擊案例發生於2023年，當時該組織入侵明尼阿波利斯公立學校（Minneapolis Public Schools），導致數十萬份學生資料外洩，影響超過10萬人。

此外，該組織的攻擊對象遍及全球，包括太平洋島國東加（Tonga）、法國市政府機構、菲律賓政府機構，甚至一家由加拿大兩大銀行聯合創立的科技公司也在其中。過去美國伊利諾州（Illinois）與德州（Texas）的政府機構也曾遭受攻擊，而最近 Medusa宣稱入侵了科羅拉多州奧羅拉市（Aurora, Colorado）政府單位，但當地官員否認了這一說法。

FBI強調，Medusa與MedusaLocker及Medusa移動惡意軟體變種無關，這是一個獨立的勒索軟體組織。Medusa最初是一個由駭客與開發者組成的封閉團隊，但隨著其運營規模擴大，開始以附屬模式招募更多駭客，透過網路犯罪論壇與黑市尋找有能力的駭客來幫助入侵系統，然後再由核心成員進行勒索談判與資金管理。

CISA表示，Medusa目前仍在持續擴展攻擊範圍，各機構應提高警覺，並採取有效的資安防禦策略，包括定期更新系統、採用強密碼、啟用多重身份驗證，並加強員工對網路釣魚攻擊的防範意識。此外，政府機構與企業應定期備份重要數據，確保即使遭受攻擊，仍能透過備份還原系統，避免支付贖金。

文章來源

The post FBI嚴正示警！300家關鍵基礎設施機構遭駭這款勒索病毒曾害學校洩漏數十萬份個資 first appeared on 捕夢網 Blog.

殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺

pumoadmin55 — Tue, 18 Mar 2025 02:04:03 +0000

兩年前公布的已知漏洞近期再傳新的攻擊行動！資安業者Cato Networks揭露發生在今年1月上旬的攻擊行動，駭客鎖定的標的，就是尚未修補CVE-2023-1389的TP-Link無線基地臺Archer AX21。

這波攻擊行動駭客綁架了超過6千臺無線基地臺組成殭屍網路，範圍涵蓋美國、澳洲、中國、墨西哥，這樣的情況突顯該漏洞在TP-Link發布相關更新之後，迄今仍有不少設備尚未修補，而讓駭客有機可乘。

【攻擊與威脅】

殭屍網路Ballista綁架尚未修補的TP-Link設備，逾6千臺遭感染

TP-Link於2023年3月修補旗下Archer AX21無線基地臺漏洞CVE-2023-1389，隔月就開始出現針對未修補用戶的相關攻擊行動，去年更出現同時有6個殭屍網路試圖綁架該型號無線基地臺的情況。事隔兩年，最近再度傳出利用此漏洞攻擊所造成的新資安事故。

資安業者Cato Networks指出，他們在今年1月上旬發現新一波的漏洞利用活動，殭屍網路Ballista鎖定美國、澳洲、中國、墨西哥而來，針對醫療保健、服務業、科技組織發動攻擊，試圖透過有效酬載注入來利用CVE-2023-1389，從而得到初始入侵管道，得逞後下載載入惡意程式的bash指令碼並執行，將Ballista植入受害裝置，目前有超過6千臺裝置受害。

為隱匿行蹤，此殭屍網路病毒使用82埠建立經加密處理的C2通道並進行通訊，自動嘗試利用CVE-2023-1389感染網際網路上的其他設備。一旦接收到C2的命令，該病毒能在受害設備執行Shell命令，或是進行DDoS攻擊。

針對微軟修補的Win32核心子系統零時差漏洞，傳出在2年前就遭到利用

本週微軟發布3月份例行更新，其中修補一項已被用於實際攻擊行動的Win32核心子系統權限提升漏洞CVE-2025-24983，通報此事資安業者ESET透露，這項漏洞被利用的情況，最早可追溯到2年前。

究竟這項漏洞引發什麼樣的災情？ESET指出，有人從2023年3月開始，將其用於攻擊執行Windows 8.1及Server 2012R2作業系統的工作站電腦及伺服器，得逞後植入名為PipeMagic的後門程式。

ESET也對於這項漏洞發生的原因提出說明：在Win32k驅動程式使用名為WaitForInputIdle的API的特定場景當中，會發生W32PROCESS解除引用（dereference）的次數與應有次數不一致的現象，而造成記憶體釋放後再存取使用的現象。

文章來源

The post 殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺 first appeared on 捕夢網 Blog.

【詐騙】網傳台電寄節電獎勵電郵？填資料領取？釣魚網站騙取信用卡個資

pumoadmin55 — Tue, 18 Mar 2025 01:57:56 +0000

網傳「節電獎勵活動登錄」的訊息，近期有民眾收到台電寄來的電郵，聲稱為了推動節電獎勵登錄，要民眾點選郵件中的網址，登錄自家電號以參加相關活動，除了個人基本資料外，還要填寫信用卡帳號。當心！這是近期又在網路上死灰復燃的詐騙手段，詐騙集團架設以假亂真的活動頁面，讓人誤以為是真的網站，台電的官網是「.com.tw」結尾，民眾需特別留意網址是否正確。此外，參加節電獎勵登錄的民眾，只需填寫姓名、聯絡電話及 Email，不需要填寫信用卡資料，假如不慎將個人資料外洩，信用卡可能會被盜刷，造成財損，民眾應特別注意。

台電節電獎勵登錄要求信用卡資料？

原始謠傳版本：

節電獎勵活動登錄省電，也省電費！ https://www.rzvqplm.cc/#/

主要會收到類似電子郵件：

查證解釋：

台電寄出節電獎勵申請郵件？

MyGoPen 近期在 Facebook、LINE 等社群平台，發現有不少民眾發文討論，表示自己收到疑似台電寄發的電費獎勵通知，記者檢視電郵內所附連結，可以看到寄件者皆署名「台灣電力公司」，但活動頁面卻出現「http://tipower.cc/」、「http://xrlmvpq.cc/」等不同網址，並非常見的「.tw」結尾。

以「台電、省電獎勵」進行搜索，可以找到「節電獎勵活動登錄」，即使起到 2 月 17 日，也就是本次查核報告上架日，民眾可以活動網站登錄電號或是地址，參加台電的省電活動，當期用電每節省 1 度，可獲得0.6元獎勵金。檢視正式活動網址，應為「https://service.taipower.com.tw/tpcuip/savepower/」。

由於上述提到的兩個可疑網址，皆因違反《詐欺犯罪危害防制條例》遭到封鎖，記者在 Facebook 上搜尋「節電、詐騙」，可以看到有用戶分享實際操作詐騙網站的經驗，整個網頁做的和正版活動網站非常像，也是要民眾以電號或是地址登錄，但在填完基本資料後，還要求填寫信用卡帳戶，如果未察覺是詐騙，填寫後信用卡就有可能遭到盜刷。

高雄市燕巢區公所 Facebook 粉專於 2024 年 3 月 27 日發文，教民眾如何使用該網站登錄節電獎勵，0：23 處可以看到在登錄電號後，會要民眾提供姓名、聯絡電話及聯絡 Email（選填），之後點選「確認登錄」即完成登記，正式網站不會要民眾填寫信用卡資料。

台電也在 2025 年 1 月 17 日發布新聞稿，提醒民眾當心可疑電子郵件，並強調參加節電活動獎勵的民眾，獎勵金是直接於各期電費中折抵，不須輸入信用卡卡號或銀行帳戶資訊。

此外，透過財團法人台灣網路資訊中心「Whois 查詢」，會發現圖片中的網址分別於 2025 年 2 月 11 日及 1 月 21 日才架設，明顯不是台電的網頁；若是以同樣方式查詢正式活動頁面（service.taipower.com.tw），可以看到該網址的網域顯示為「taipower.com.tw」，註冊人為「台灣電力股份有限公司」，且至少 1997 年以來即有網站記錄。

事實上，類似這種台電獎勵詐騙的手法已行之有年，如果在 Google 上搜尋「節電、詐騙」，可以找到新北市政府警察局土城分局於 2017 年 7 月發布的新聞稿《「台電節電獎勵活動」網頁是釣魚網站？》，顯示網傳詐騙手法至少超過 8 年。

總結來說，民眾近期如果收到聲稱是台電寄來的節電獎勵電郵，須特別留意不要點擊郵件內的可疑連結，以免個資、信用卡帳號外洩，造成錢財損失。

文章來源

The post 【詐騙】網傳台電寄節電獎勵電郵？填資料領取？釣魚網站騙取信用卡個資 first appeared on 捕夢網 Blog.

有些訊息「看似正常」卻是詐騙？Google 發表兩大 AI 偵測功能破解

pumoadmin55 — Mon, 10 Mar 2025 06:57:51 +0000

從攔截垃圾訊息到主動偵測，瞄準「看似正常」的簡訊

根據《The Verge》報導，Google Messages 資深產品經理 Alberto Pastor Nieto 表示，傳統的垃圾訊息防護功能聚焦在攔截陌生訊息，但隨著詐騙手法不斷進化，許多詐騙訊息往往會以正常對話開頭、使用最新社交工程技術，之後才引導受害者提供個資或金錢交易，甚至誘導轉移至其他通訊軟體繼續行騙，使得傳統防護措施效果變差。

為了更有效應對這些「對話式詐騙」，Google 投入研發新 AI 偵測技術，表示透過其 AI 模型，能即時監測 SMS、MMS 及 RCS 訊息中的可疑模式，並在偵測到詐騙風險時，立即向用戶發出警告，提醒用戶該對話可能為詐騙，並提供快速封鎖或回報選項。

值得注意的是，Google 強調這項技術會在手機裝置端運行，不會將訊息內容傳送至雲端進行分析，以確保用戶的隱私安全。此外，AI 偵測僅適用於非通訊錄聯絡人的對話，避免干擾正常通訊。

根據 Google，這項功能將優先在美國、英國及加拿大的 Android 用戶中推出，未來將擴展至更多國家。

詐騙電話偽冒他人，也能透過 AI 偵測提醒用戶

除了簡訊防護，Google 也針對電話詐騙祭出防禦措施。根據 Google 內部調查，2024 年美國超過一半的民眾每天至少接到一次詐騙電話，而詐騙集團更頻繁利用技術手法偽造來電號碼，冒充銀行、快遞公司等可信機構。

Google 表示，透過內建 AI 模型，在來電過程中分析語音內容，若偵測到對方要求用戶購買禮品卡付款、提供個資等異常行為，系統會透過音訊及震動提示警告用戶，並在螢幕顯示「此通話可能為詐騙」的提醒。

目前，這項 AI 來電偵測功能已在 Pixel 9 以上機型進行測試，未來將擴展至更多 Pixel 裝置，並有望支援其他 Android 手機。

文章來源

The post 有些訊息「看似正常」卻是詐騙？Google 發表兩大 AI 偵測功能破解 first appeared on 捕夢網 Blog.

通訊軟體 Signal 下載飆升 958%！數位隱私意識崛起，資安專家該關注什麼？

pumoadmin55 — Mon, 10 Mar 2025 06:52:47 +0000

荷蘭掀起 Signal 熱潮，三個月內下載量暴增 958%

2025 年初，隱私導向的通訊應用程式 Signal 在荷蘭掀起下載狂潮，短短三個月內成長 958%，躍升 iOS 和 Android 平台最熱門的免費應用程式——根據行動應用數據分析與市場情報公司 AppFigures 數據，2024 年 12 月時 Signal 的下載量僅約 2.2 萬，但到了 2025 年 2 月，已飆升至 23.3 萬。

這波成長並非偶然。數位隱私意識抬頭、美國科技巨頭壟斷疑慮等政治因素，共同推動了 Signal 的崛起。

在歐洲，「數位主權」（Digital Sovereignty）成為政策核心，政府與公民對 Meta、Google、Apple 等美國科技企業的數據掌控力感到不安，進而尋找更具隱私保障的替代方案，而 Signal 正是這股趨勢下的最大受益者。

歐洲掀數位主權討論，Signal 受益於科技「去美化」

Signal 由非營利組織 Signal Foundation 經營，與 WhatsApp、Facebook Messenger 等商業通訊軟體不同，它不依賴廣告獲利，也不收集用戶數據，而是透過端對端加密（E2EE, End-to-End Encryption）確保對話內容無法被第三方攔截或解讀。這種高隱私性讓它成為隱私意識高漲的用戶首選。

歐洲長期對美國科技巨頭的數據壟斷感到不安，特別是在 Meta 曾多次因違反歐盟 GDPR 遭巨額罰款後，大眾對美國企業利用個資牟利的疑慮進一步加深。荷蘭數位權利組織 Bits of Freedom 政策顧問 Rejo Zenger 就指出，過去人們只是在不同通訊應用間做選擇，但現在，這個問題已經演變成「我們應該擺脫對美國科技公司的依賴嗎？」

2025 年川普政府再度上台，讓美國科技企業與政府的關係更為緊密，進一步加劇歐洲對隱私的擔憂。歐洲媒體對川普、Elon Musk、Meta 等企業的批評聲浪不斷，特別是社群平台 X 和 Facebook，因可能配合美國政府的監管要求，導致歐洲用戶的信任度下降。

荷蘭隱私權組織 Privacy First 總監 Vincent Böhre 直言：

「美國科技公司與川普政府的關係，已成為歐洲關注的焦點。這讓許多過去不太關心數位隱私的荷蘭人，開始尋找更具保護性的替代方案，例如 Signal。」

歐洲政府收緊監管，端對端加密面臨挑戰

然而，隱私技術的普及並不意味著所有人都支持。歐洲政府與執法機構擔心端對端加密會阻礙犯罪偵查，因此開始對通訊應用施加更嚴格的監管。例如：

英國政府近期強制 Apple 取消 iCloud 端對端加密，以便當局可監管數據。
瑞典政府正推動新法，要求所有通訊應用儲存用戶訊息紀錄，否則將面臨市場禁令。

然而，針對執法機構的擔憂，Signal 堅持不會妥協隱私保護立場，甚至願意退出某些市場以維護其用戶的數據安全。Signal 的總裁 Meredith Whittaker 在多個場合強調：「荷蘭的 Signal 註冊量成長了 25 倍，這顯示出越來越多人開始意識到數位隱私的重要性，也反映出大眾對大型科技公司與政府關係的質疑。」

「我們不會在隱私問題上妥協，無論是用戶端掃描、加密後門，還是政府要求我們儲存訊息紀錄。如果必要，我們寧願退出市場。」

不過，面對這些監管壓力，Signal 採取強硬立場，堅持不妥協隱私原則，甚至表示願意退出某些市場。

Signal 總裁 Meredith Whittaker 曾多次表態：「荷蘭的 Signal 註冊量成長了 25 倍，這顯示越來越多人開始關注數位隱私，也反映出大眾對大型科技公司與政府關係的質疑。」甚至進一步強調：

「我們不會在隱私問題上讓步，無論是用戶端掃描、加密後門，還是政府要求我們儲存訊息紀錄。如果必要，我們寧願退出市場。」

數位隱私意識升級，企業如何調整策略？

這場關於個人隱私、政府監管、科技企業影響力的爭論，已經不只是荷蘭個案，而是整個歐洲都在面對的難題。Signal 在荷蘭的爆量下載，象徵數位隱私意識的升級，以及對美國科技企業壟斷數據的強烈反彈。不過，這場變革也帶來了幾個值得深思的問題：

1. 端對端加密普及，企業與政府的資安策略如何調整？

企業應該如何在「保障用戶隱私」與「符合政府監管」之間找到平衡？政府應該強制要求通訊應用程式建立監管機制嗎？

2. 企業如何適應「去中心化隱私工具」的趨勢？

歐洲市場是否會全面轉向去中心化的通訊工具？這樣一來，大型企業的溝通方式是否也會因此改變，改採用更強調隱私的內部通訊系統？

這場隱私與監管的拉鋸戰不會在短期內結束。無論是政府、企業還是個人都必須開始思考，未來的數位通訊應該如何平衡「隱私保護」與「公共安全」，才能真正保障數位時代的自由與安全。

文章來源

The post 通訊軟體 Signal 下載飆升 958%！數位隱私意識崛起，資安專家該關注什麼？ first appeared on 捕夢網 Blog.

高鐵也有黃牛！詐個資盜刷車票爽撈千萬 7名「釣客」慘了

pumoadmin55 — Mon, 10 Mar 2025 06:49:34 +0000

高鐵公司發現，從前年開始，訂票系統出現異常購票，一般人工手動輸入資料，要花30秒到1分鐘完成，卻疑似有機器人程式搶票，1分鐘可訂上百張。檢警獲報追查，搶票程式如果輸錯信用卡號，會快速換另一張卡重新輸入，這麼多個資哪來？

原來這個犯罪組織，會先發釣魚簡訊，騙被害人停車費、罰單還沒繳，或點數即將過期，要求輸入個資。同時透過境外駭客的IP，用騙來的個資做無本生意，上高鐵網站大量訂票，將訂票代號傳給黃姓、謝姓兩名台灣幹部，再讓兩名陳姓「客服人員」，將售票資訊登在「晚鳥票票券交易平台」網站，聯繫購票者付款取票，最後把犯罪所得交給施姓幣商，轉為虛擬貨幣。

▲盜刷高鐵票集團釣魚簡訊「點數即將過期」（圖／鐵路警察局刑事警察大隊提供）

▲盜刷高鐵票集團釣魚簡訊「罰單逾期未繳」（圖／鐵路警察局刑事警察大隊提供）

檢警指出，「晚鳥票票券交易平台」是合法網站，提供臨時無法搭車的民眾轉讓出售平台，想撿便宜票或買不到票，都可能會接洽購買。
盜刷集團鎖定「臺北－左營」車票下手轉售，原價1490元打8折，只賣1192元，如果購票民眾，不用搭到高雄，而是新竹、台中等中間站下車，也可享用同段票8折優惠，反正對於盜刷集團來講，本來就是無償取得，不會因為北高車票低價出售而虧本。

▲「晚鳥票票券交易平台」是合法網站，提供臨時無法搭車的民眾轉讓出售平台，卻被歹徒利用轉售盜刷車票（圖／鐵路警察局刑事警察大隊提供）

士林地檢署指揮鐵路警察局偵辦，揪出7名被告，他們從2023年6月到2024年1月間，總共賣出1萬多張「盜刷晚鳥票」，海撈1300萬。全案以組織犯罪防制條例、偽造文書、詐欺、鐵路法、洗錢防制法等罪嫌，偵結起訴。

文章來源

The post 高鐵也有黃牛！詐個資盜刷車票爽撈千萬 7名「釣客」慘了 first appeared on 捕夢網 Blog.

「我不是機器人」功能早被破解！為何 Google 還留著使用？

pumoadmin55 — Mon, 03 Mar 2025 00:56:48 +0000

相信大家在登入網站時，一定都點選過「我不是機器人」的驗證方塊，或是被要求辨識扭曲的文字、數字的圖片。這個名為 reCAPTCHA 的驗證系統，原本是設計用來區分人類與機器人的測試，但最新研究顯示，這個系統可能另有隱情。

在 2007 年時，卡內基梅隆大學（Carnegie Mellon University）的 Luis von Ahn 發明了 reCAPTCHA，通常被用於阻擋網路上的那些不良軟體。

假如你要在網路上購買車票，那麼你需要看一組扭曲的字母，並輸入正確內容。這樣系統可以將你判定為人類，而非機器人。這就是所謂的 CAPTCHA （Completely Automated Public Turing test to tell Computers and Humans Apart），全名為「全自動區分電腦和人類的公開圖靈測試」。

早已被機器人輕易破解，但背後商業價值很可觀

根據加州大學爾灣分校前電腦安全研究員安德魯・西爾斯（Andrew Searles）博士的研究，這個早已可以被機器人輕易破解的系統，仍被 Google 持續使用的真正原因，是為了追蹤用戶行為並收集個人資料。

（編按：Google 在 2009 年收購了 reCAPTCHA。）

研究發現，當使用者面對 reCAPTCHA 時，Google 會廣泛監控用戶的 Cookie、瀏覽紀錄，甚至包括螢幕解析度、滑鼠移動軌跡等瀏覽器環境資訊。這些資料對廣告投放和用戶追蹤極具價值。資安專家 Chuppl 更直言，「reCAPTCHA 實際上是在對你的瀏覽器進行類似指紋辨識的動作，繪製你在網路上的所有行為地圖。」

另外，這項研究分析了超過 3,600 名用戶的使用數據，發現完成圖片驗證的時間比簡單勾選方塊多出 557%。更驚人的是，研究估計 reCAPTCHA 已經浪費了全球用戶總計 8.19 億小時的時間，相當於價值 61 億美元的損失。研究指出，reCAPTCHA 系統收集到的用戶數據價值驚人 —— 光是追蹤 Cookie 的商業價值就高達 8,880 億美元（約新台幣 28 兆元）。

完全無法迴避 Google 追蹤？

從歷史角度來看，reCAPTCHA 的發展頗具戲劇性。Luis von Ahn 原本是懷著善意開發這個系統，用來協助數位化書籍和報紙中電腦難以辨識的文字。這個創意如此成功，以至於《紐約時報》用它來數位化從 1851 年以來的 1,300 萬篇文章。

也就是說，它把防止機器人的安全需求，和辨識實體書裡的文字任務結合在一起，讓使用者在證明自己是人類的同時，也在無意識中協助完成了文字辨識的工作。這就是為什麼《紐約時報》能夠用這個系統來數位化它們龐大的歷史文章庫。

直至 2009 年，Google 收購了 reCAPTCHA，並將其用於 Google 圖書館的數位化和 Google 街景服務中道路標誌的辨識。然而到了 2025 年，儘管這個系統早已無法有效防止機器人入侵，但因為其龐大的商業價值，使用者仍然無法避免在網路上遇到它。

文章來源

The post 「我不是機器人」功能早被破解！為何 Google 還留著使用？ first appeared on 捕夢網 Blog.

捕夢網 Blog

資安專家：瀏覽器永遠不要存信用卡資料

詐騙會怎麼偷你的信用卡資訊？

如何保護自己？

還是很想在瀏覽器儲存信用卡資訊怎麼辦？

駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式

WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下

FBI嚴正示警！300家關鍵基礎設施機構遭駭 這款勒索病毒曾害學校洩漏數十萬份個資

殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺

【攻擊與威脅】

【詐騙】網傳台電寄節電獎勵電郵？填資料領取？釣魚網站騙取信用卡個資

有些訊息「看似正常」卻是詐騙？Google 發表兩大 AI 偵測功能破解

從攔截垃圾訊息到主動偵測，瞄準「看似正常」的簡訊

詐騙電話偽冒他人，也能透過 AI 偵測提醒用戶

通訊軟體 Signal 下載飆升 958%！數位隱私意識崛起，資安專家該關注什麼？

荷蘭掀起 Signal 熱潮，三個月內下載量暴增 958%

歐洲掀數位主權討論，Signal 受益於科技「去美化」

歐洲政府收緊監管，端對端加密面臨挑戰

數位隱私意識升級，企業如何調整策略？

高鐵也有黃牛！詐個資盜刷車票爽撈千萬 7名「釣客」慘了

「我不是機器人」功能早被破解！為何 Google 還留著使用？

早已被機器人輕易破解，但背後商業價值很可觀

完全無法迴避 Google 追蹤？

FBI嚴正示警！300家關鍵基礎設施機構遭駭這款勒索病毒曾害學校洩漏數十萬份個資