資訊安全

【資安日報】3月29日，歐盟刑警組織提出警告，駭客大肆利用ChatGPT發動網釣攻擊、詐騙、製作惡意程式[轉載自IThome]

駭客發動與ChatGPT相關的攻擊行動日益頻繁，包含利用該機器學習語言模型來製作釣魚信件，或是假借提供相關應用程式來散布惡意軟體等。這樣的情況也引起歐洲警方的關注，並指出他們看到駭客運用此種機器學習模型的數種型態攻擊手法。除了ChatGPT相關攻擊橫行，商業郵件詐騙（BEC）也相當值得留意。近日美國聯邦警查局（FBI）提出警告，駭客假冒合作廠商的名義發動相關攻擊，但與過往不同的是，這些駭客現在會使用延遲付款方式，使得受害廠商不易及早察覺詐騙而難以追回貨款。而在面臨BEC攻擊行動之外，執法人員也透過反向操作、設下誘餌來找出網路罪犯。例如，英國國家刑事局（NCA）就假借提供DDoS租賃服務（DDoS-for-Hire）的名義，讓想要租用此種服務發動攻擊的駭客上當。 【攻擊與威脅】歐洲刑警組織警告網路罪犯濫用ChatGPT機器學習模型ChatGPT被用於攻擊行動的現象日益頻繁，這樣的情況也引起警方的高度重視。歐洲刑警組織（Europol）於3月27日提出警告，他們呼籲大家注意，網路罪犯正在濫用ChatGPT與其他的大型語言模型（LLM），例如，他們很可能在詐欺與社交工程領域，利用這種語言模型來模仿特定人士的書寫、說話方式，來產生網路釣魚誘餌，而且，攻擊者也可能將其拿來產生假訊息。再者，也有人將其用於製作惡意程式，在這樣的狀況下，攻擊者即便自身無開發能力，也有機會製作相關工具。 美國警告駭客假借採購名義進行商業郵件詐騙美國聯邦調查局（FBI）針對近期的商業郵件詐騙（BEC）態勢提出警告，指出駭客假借當地商家的名義，向目標公司「批發」各式商品，包含了建材、農業器具、電腦硬體、太陽能產品等。為了取信攻擊目標，駭客會冒用真實員工或前員工的姓名犯案，而且，這些駭客也採用了延遲付款的方式，如Net-30或Net-60短期融資的方式，指定在交貨後的30天或60天才付款，並付上偽造的推薦函與W-9貸款表單，從而讓受害公司收不到貨款、察覺上當為時已晚。 勒索軟體為近2年歐洲交通運輸業者的重大威脅歐盟網路安全局針對2021年至2022年10月交通領域的組織遭遇的資安事故進行分析，結果發現，勒索軟體攻擊是頭號威脅，占38%；其次是資料外洩有關威脅（30%）、惡意軟體（17%）。此外，該單位認為，針對交通運輸單位的DDoS攻擊有可能會持續，且機場、火車站、交通主管機關會是駭客的主要目標。 豐田汽車義大利分公司資安出包！市場行銷系統帳密竟在公開網路曝露逾一年半資安新聞網站Cybernews的研究人員於2月14日發現，豐田汽車（Toyota）義大利分公司的網站有資料外洩疑慮，因為該網站的開發環境組態檔案（ENV）暴露在公開網路，時間長達1年半以上，導致該公司的行銷雲Salesforce Marketing Cloud的帳密資料、客製化地圖服務Mapbox的API公開。攻擊者一旦取得這些資料，就有可能拿到該公司客戶的電話、電子郵件信箱等資料，進而以豐田的名義發送惡意簡訊或是釣魚郵件，甚至是推送通知，進行網釣攻擊。而前述的地圖服務API外曝，影響雖然不若行銷雲帳密嚴重，但攻擊者可以對其發送大量查詢請求，導致豐田本身所需支付的費用爆增。 Instagram詐騙傳出以提供時裝購物商城Shein禮物卡為誘餌的事故防毒業者Avast揭露近期的Instagram詐騙攻擊行動，駭客針對英國、澳洲、法國、西班牙、波蘭用戶下手，對方發文聲稱是2023年時裝購物商城Shein禮物卡的幸運兒，並標記一長串的Instragram使用者。若用戶依照指示存取駭客提供的URL，就會被帶往釣魚網站，而該網站會對用戶發出通知訊息，表示時限內完成問卷，就有機會贏得禮物卡，且無論使用者輸入有效答案與否，都會通過審核並要求填寫個人資料，支付些許費用取得禮物卡，然而，受害者最終非但不會拿到禮物卡，還會「被訂閱」來路不明的服務。 臺灣民眾網路詐騙抵抗力有待加強，透過錯誤資訊來確認資訊真偽的比例高達8成金融服務業者Visa針對全球18個市場、6千個成年人進行詐騙話術（Fraudulese）有關的調查，結果發現，一般人大多會擔心親友受騙，但忽略自己也是歹徒行騙的目標，再者，有81%受訪者透過錯誤資訊來確認資訊真偽──有46%主要依據公司名稱與標誌來判斷。此外，對於釣魚郵件橫行的現象，他們發現僅有6成受訪者會檢查是否來自寄件者的電子郵件信箱，且只有47%會確認郵件是否有錯字。而針對臺灣的部分，該公司表示，我國消費者最容易受到「限定期間回應」、「免費贈禮」等關鍵字的引誘。 【漏洞與修補】ChatGPT資料外洩，起因是近期新加入使用的元件出現弱點人工智慧研究實驗室OpenAI於3月24日表示，他們暫時將語音機器學習模型ChatGPT下線，起因是3月20日開始使用的Redis資料庫Python用戶端程式庫redis-py出現臭蟲，導致部分用戶能看到他人的對話。該公司也通報Redis維護團隊，並提供修補程式。此外，該公司進一步調查發現，上述臭蟲疑似還造成部分ChatGPT Plus用戶的支付資訊曝光，約有1.2%的付費用戶受到影響。 【資安防禦措施】以邪治邪！英國設置冒牌DDoS攻擊租賃服務的網站來識別網路罪犯英國國家刑事局（NCA）近日透露，他們設置了多個佯稱提供DDoS租賃服務（DDoS-for-Hire）的網站，目的是識別從事相關攻擊的網路罪犯，這些網站幾可亂真，已有數千人存取，一旦這些人依照網站指示購買相關服務，他們就會被導向另一個網站，告知過程當中已收集相關證據，執法單位將會找上門。NCA表示，他們不會透露經營的網站數量，或是運作的時間有多久。 【資安產業動態】德凱集團買下臺灣資安新創安華聯網檢測認證機構德凱集團（Dekra）於3月28日宣布，他們買下臺灣資安新創安華聯網科技（Onward Security），德凱將整合認證與研發的能量，共同為汽車、醫療、工業、物聯網產業，提供完整的資安合規解決方案。不過，兩家公司的新聞稿並未提及併購金額。在此之前，去年被併購的臺灣新創公司是Cybavo，買下該公司的是穩定幣USD Coin（USDC）發行商Circle。 原文出處：https://www.ithome.com.tw/news/156193...