网站钓鱼威胁大 保障密码安全有撇步

http://tw.rd.yahoo.com/referurl/new...10n28ai03/*[url

更新日期:2007/04/09 09:00 「网站钓鱼威胁大 保障密码安全有撇步」(张德厚报导)

网路钓鱼对于机密资讯的威胁与日遽增，资安公司统计，台北已经成为亚太地区拥有最多钓鱼网站的城市，网路骇客会模仿银行证券或线上交易等金融服务有关的网站，架设一个假的网站，再诱骗使用者输入机密资料。赛门铁克技术顾问总监王岳忠：『他网站架好之后，就会利用发e-mail的方式，通知你例如帐号没有修改，或是太久没有登入等理由，希望你去网站上填一些资料，通常这些资料就像是

信用卡号码或是银行帐户等等。』例如银行信用卡钓鱼网站，就会要求使用者输入信用卡背面的三码检查码，得手后再进行线上刷卡消费。而除了金融资料外，钓鱼网站也会要求使用者留下个人及其亲属的相关资料及联络方式，再流向诈骗集团，让诈骗集团进行电话诈骗时有足够的背景资料可以取信于人。除了骗取资料外，钓鱼网站也会伺机对电脑植入后门程式，窃取使用者硬碟中的资料。王岳忠：『目前我们也看到一种新型态，就是他把钓鱼跟入侵混合成一种，如果你的电脑本身防护不好，或是修正程式没有装，这些钓鱼网站就会试图下载一个程式到你的电脑中，就可以让骇客日后做一些操控，甚至找资料都可以。』◎网路钓鱼严重 地下经济活跃根据资讯安全公司赛门铁克的统计，光是去年（2006）下半年总就拦截到15亿笔的网路钓鱼讯息，平均每天至少有 848万笔的网路钓鱼讯息发生，网路钓鱼最多的国家在美国，约占全世界的51%。不过亚太地区钓鱼网站最多的城市，就是在台北，

南韩首尔是排名第二位，日本东京则排名第三。而被网路钓鱼诈骗的对象，84% 与金融服务方面相关，包括政府核发之识别码、信用卡、银行卡、个人识别码以及电子邮件地址清单等，都是网路钓鱼想要窃取的机密资讯。资安公司进一步分析所拦截到的骇客资讯发现，经由网路钓鱼所衍生出的「地下经济」也越来越活跃，各种个人资料都有一定黑市价格。赛门铁克技术顾问总监王岳忠：『一个美国的信用卡卡号的行情约为6元美金，如果掉的是线上银行的帐户密码，而帐户内还有1万美金的余额，在网路上可以卖到300美金，甚至连skype的帐户也可以卖到12元美金。另外像是魔兽世界的帐户，如果还有一个月的使用时间，也可以卖到十几元美金。』◎电子化时代密码多 安全设定不马虎网路及电子化时代，几乎每个人都有电子信箱、

部落格、网路家族会员、网路银行、线上购物、线上付款金流平台等各种帐户密码，依照用途不同，对于密码安全强度的要求也不同，早前申请电子信箱只要单纯的四个数字就可以作为密码，随着骇客盗用帐户密码严重，现在至少要混用阿拉伯数字及英文字母达六个字元才能通过；而网路银行的设定则更复杂，除了要输入银行帐户外，还要输入一组使用者代码及密码，使用者代码及密码，又要至少八个字元，不但要混用阿拉伯数字及英文，英文还要分大小写，有些对安全性要求更高的网路银行，还要求使用者输入一组动态密码。各种密码、代码一多，如果没有经常使用，很容易就会忘记或者搞混，怎么样设定及管理才最安全呢？专家指出，如果所有帐户都使用同一组密码风险很高，但是都用不一样的密码要全部记住，而请分得清楚那个密码是那个帐户的也确实不容易，所以建议把可以把密码分成三类设定，视不同的场合分别使用。赛门铁克技术顾问总监王岳忠：『一组就是拿来注册网页网站到处去看的，如果会做线上交易或线上购物就需要另外一组，至于网路银行或网上证券则再需要一组。』而密码要如何设定才最安全呢？首先千万不要用生日、身份证或者电话号码等「懒人密码」，因为非常容易被破解。密码必须要混用多种类型并达8个字元强度才够。王岳忠：『密码强度要够的话，最少要有八个字母，低于八的话比较容易被猜出来，第二个是说把英文大写、小写、阿拉伯数字及特殊符号这四种类型，最好混用其中三种。』专家也建议可以使用「中文词汇式」的密码，也就是说把键盘的输入法切换成英文输入，但是却按注音输入的位置打一个中文词汇，例如打「巧克力」这个词，因为是切换在英文输入，所以打出来的就会是「ful3dkxu4」这个看似无意义的乱码，不但安全性高，只要记住中文，就不会忘记密码。22Ɔ"