暴力破解
」 駭客 暴力破解
僅高職畢業！男自學程式逮電子票券公司bug 狂盜570張票券賺百萬
北市一間跨國電子票券自去年2月起發現遭不明人士以惡意程式攻擊，對方以外掛程式到處尋找已完成付款但尚未使用的電子票券，從而取得大量超商商品券。刑事局獲報後循線追查，掌握犯嫌取得商品券，將商品券兌換後直接拿給親友使用，或是換取高單價酒類，以低於市售價格向酒商兜售，或是賣給不知情的第三人，至少盜領570張票券，不法獲利粗估至少100萬元，今年8月中旬陸續發動搜索，逮獲23歲的林姓工程師等37人。刑事局獲報有電子票券公司遭惡意程式攻擊，逮獲23歲林姓工程師盜取電子超商商品券。（圖／翻攝畫面）據了解，23歲的林姓工程師有資訊背景，學歷僅有高職，卻因對程式編碼相當有興趣，自學程式編碼，找來10名好友一起撰寫外掛程式，幾人一起腦力激盪，找到電子票券公司的漏洞，利用民眾購買電子票券通常不會立即兌換的時間差，以惡意程式攻擊電子票券公司，從而取得已完成購買的電子金鑰，鎖定超商商品券下手，再拿著金鑰前往超商兌換。而林男旗下的其中一名工程師，年僅19歲，其學歷更僅只有高中肄業。林男得手後，除將商品券送給周邊親朋好友外，也會將超商商品兌換店內高單價酒類，再以低於市售價格賣給酒商，或透過網路平台將票券賣給其他不知情之第三者。警方循線追查後，分三波搜索，先是逮獲林姓男子等12人，並在一名李姓工程師家中發現SIM卡變換器（俗稱貓池，可用一支手機操控數個門號），林男等人透過創設多個會員帳號後，再以為電商平台量身打造惡意程式，從看直播方式領取點數，自用折抵。警方也發現，林男等人還破解一款手遊，該手遊只要會員完成指定闖關遊戲，每天就可獲得價值30元的獎勵，林男等人直接略過過程，透過機器人獲得獎勵。警方自去年8月至今年7月間，在台北地檢署指揮下，與北市信義分局、中正一分局、刑事警察大隊及高雄市警局刑事警察大隊等單位展開連續3波查緝行動，逮捕嫌犯37人，並查扣貓池、惡意程式軟體、電腦、行動電話、USDT虛擬貨幣3000顆（市價台幣10萬元）等贓證物；清查本案犯罪集團共計詐領虛擬商品票券逾570張。全案後續也依照詐欺、妨害電腦使用與組織犯罪條例移送偵辦，其中主嫌林男與賴姓工程師均以3萬元交保。刑事局呼籲，駭客會利用惡意程式暴力破解網站系統，或透過「貓池」大量創設帳號，非法詐領虛擬商品票劵及電商優惠點數，藉以進行販售或個人消費牟利。民眾勿輕信購買來路不明之折扣票劵與點數，避免淪為詐騙集團的洗錢共犯。如發現異常或詐騙訊息，請立即通報警方或撥打110、165反詐騙專線，以共同維護社會治安。
駭客入侵Google！25億Gmail用戶個資恐外洩 專家教5招自保
國際駭客組織ShinyHunters於今年6月成功入侵Google一個透過Salesforce雲端平台管理的重要資料庫，竊取大量企業與客戶聯絡資料。由於此次資安漏洞可能影響高達25億名Gmail用戶，引發全球關注。目前，Google尚未對外公布確切受害人數，也未透露是否曾收到駭客勒索要求。根據《每日郵報》報導，駭客疑似透過社交工程手法，誘騙一名Google員工提供登入憑證，從而取得該資料庫的存取權限。雖然Google聲稱目前無證據顯示有用戶密碼外洩，但被竊取的聯絡資訊已被用於電話詐騙與釣魚攻擊，受害者可能因此帳戶遭盜用，甚至個資外洩。資安專家奈特（James Knight）指出，駭客已開始透過冒充Google員工的方式進行詐騙，使用650區碼撥打假電話，甚至傳送簡訊引導用戶重設密碼、提供驗證碼。他強調，「如果收到來自 Google 的語音或文字訊息，十之八九是假的，千萬不要輕信。」奈特也指出，駭客還利用盜得的Gmail名單進行暴力破解攻擊，嘗試輸入常見密碼如「password」登入帳戶。專家呼籲Gmail用戶立即採取以下資安措施：1、啟用雙重驗證（MFA）：提升登入安全性。2、更換強密碼：避免使用簡單、重複或被外洩過的密碼。3、使用密碼金鑰（Passkey）：提升身份驗證層級。4、進行 Google 帳戶安全檢查：檢視潛在風險與異常登入紀錄。5、保持警覺：勿隨意提供驗證碼，不要輕信任何「來自Google」的來電或訊息。此外，駭客此次還利用「懸空桶（Dangling Bucket）」攻擊法，從過時或未封鎖的Google Cloud存取點切入，植入惡意程式或竊取更多資料。目前Google尚未對外公布確切受害人數，也未透露是否曾收到駭客勒索要求。發言人Mark Karayan拒絕進一步回應。奈特提到，雖然Google長年投資資安系統，並曾收購資安公司，但此次 Salesforce資料庫的漏洞仍令人震驚，「這些 email 資料對駭客而言如同金礦，他們可能已藉此獲得龐大利益。」他提醒所有網路用戶，「駭客會不斷透過大量測試與釣魚手段，試圖入侵帳戶。保持高度警覺，是防範詐騙的第一步。」
史上最大加密竊案！中國LuBian礦池遭駭12.7萬枚比特幣 現值逾145億美元「駭客4年未轉移」
區塊鏈情報公司Arkham Intelligence日前揭露，2020年12月，中國礦池LuBian曾遭遇一起未被公開的大型加密貨幣竊案，損失127,426枚比特幣（BTC），以當前市價計算接近145億美元。這起事件發生時，被竊資產價值約35億美元，成為當時加密貨幣史上以金額計算最大規模的竊案之一。雖然日本交易所Mt. Gox在營運期間共遺失約74.4萬枚BTC，但在其破產時比特幣價格遠低於2020年的水準，價值僅數億美元，與此次事件的規模不可同日而語。根據《The Block》報導，LuBian於2020年4月底突然進軍比特幣挖礦市場，並迅速躋身全球第六大礦池。該礦池網站當時以中文宣稱自己是「世界上最安全且收益最高的礦池」。但LuBian在2021年2月突然消失，市場一度盛傳是遭中國政府關閉，或轉型為私人礦池。但Arkham的調查顯示，真正原因是一場毀滅性的駭客攻擊，幾乎摧毀其全部儲備。Arkham的鏈上分析指出，2020年12月28日，LuBian首次遭駭，損失超過90%的BTC。隔日，另有價值約600萬美元的BTC與USDT從其一個活躍於比特幣Omni層的地址被轉走。調查人員推測，這起攻擊與LuBian私鑰生成演算法存在安全漏洞有關，該演算法疑似容易遭暴力破解。截至目前，LuBian仍保有11,886枚BTC，按現價約值13.5億美元，而涉嫌駭客自2024年7月以來未再轉移任何被竊BTC。事後，LuBian曾透過比特幣的OP\_RETURN欄位向部分駭客使用的地址發送訊息，內容稱「致保護我們資產的白帽駭客，您可以聯繫我們……討論資產返還與您的獎勵」，並附上電子郵件地址，但外界不清楚駭客是否曾回覆。
大陸科技公司遭網路攻擊！北京指控民進黨豢養駭客組織：技術水準低下
中國大陸廣州某科技公司遭境外駭客組織網路攻擊後，大陸公安機關立即組織技術團隊，對提取的攻擊程式和系統日誌進行技術分析和溯源追蹤，隨後指控該公司遭受的網路攻擊是「中國台灣民進黨當局豢養的駭客組織所為。」據新華社的報導，廣州市公安局天河區分局5月20日發佈警情通報稱，廣州某科技公司遭境外駭客組織網路攻擊，公安機關立即開展調查，提取相關攻擊程式樣本，全面固定相關涉案證據，並組織專業技術團隊開展技術溯源。報導根據警方調查結果稱，該台灣駭客組織近年來頻繁利用公開網路資產探測平臺，針對大陸10餘個省份的1000餘個重要網路系統（涉及軍工、能源、水電、交通、政府等）開展大規模網路資產探查，搜集相關系統基礎資訊和技術情報，並通過大範圍發送釣魚郵件、公開漏洞利用、密碼暴力破解、自製簡易木馬程式等低端網攻手法實施了多輪次網路攻擊，「特別是去年以來，該台灣駭客組織針對我境內目標的攻擊規模和攻擊頻次均有明顯提升，騷擾破壞意圖明顯，用心極其險惡。」報導還援引技術專家的說法稱，該台灣駭客組織的技術水準整體較低，攻擊手法簡單粗暴，攻擊範圍較廣，多次被我網路防護系統監測發現。其自製網路木馬程式的設計水準低下，留下多處可被反向追蹤的犯罪線索，為警方查明犯罪事實、鎖定犯罪嫌疑人及其上網地點提供了有利條件。技術分析顯示，雖然其頻繁利用VPN代理、境外雲主機和傀儡機等網路資產，通過大量來自美國、法國、韓國、日本、荷蘭、以色列、波蘭等國家的IP位址實施網路攻擊，意圖掩蓋其真實攻擊來源，但報導指出，通過網路偵查調查不難查清該駭客組織實施網路攻擊犯罪的整個過程及其真實意圖。
DeepSeek遭攻擊當機！陸官媒稱攻擊IP來自美國 360周鴻禕：願提供安全支援
中國AI新創公司「DeepSeek」20日釋出DeepSeek-R1模型正式版後，因其低廉的開發成本與直追Open AI o1的性能一夕爆紅。不過DeepSeek在28凌晨傳出遭受網路攻擊消息，導致其服務一度停擺；如今中國官媒央視發表說法，表示網路安全公司「奇安信」的網路安全專家指出，DeepSeek是遭受「暴力破解攻擊」，而這些網路攻擊的IP地址「都來自美國」。網路安全企業「360集團」的創辦人周鴻禕則在網路上公開喊話表示：「如果DeepSeek有需要，360願意提供網路安全的全力支援。」根據中國央視旗下「玉淵潭天」公眾號指出，根據中國網路安全公司「奇安信」專家表示，DeepSeek近日受到「暴力破解攻擊」，網路攻擊的IP地址都在美國。王輝表示「暴力破解攻擊」的目的，在於破解DeepSeek用戶的密碼，以此取得用戶隱私訊息。目前，DeepSeek已暫時限制來自+86（中國國碼）以外的手機號碼註冊，至於已註冊用戶可以正常登錄。而中國主營安全相關的網際網路公司「360集團」創辦人周鴻禕28日在網路上公開喊話，表示「如果DeepSeek有需要，360願意提供網路安全的全力支援。」同日，周鴻禕手下「奇虎360」又高調在網路發布《關於全力支持國產大模型DeepSeek的倡議書》，宣稱360集團「作為國內最大的網路安全公司，360集團鄭重承諾將以民族大義為己任，全力以赴為DeepSeek提供全方位網路安全防護，堅決捍衛國產AI技術的尊嚴與安全！」搶搭DeepSeek順風車的意味十分濃厚。周鴻禕還趕忙在28日拍攝影片上傳，宣稱這次DeepSeek發動的大規模網路攻擊「唯獨跳過了360集團的專線機房」，又高調放話：「能夠攻破360伺服器的駭客組織還沒出生，不服氣歡迎來挑戰。」
密碼安全嗎？駭客破解「8字元」僅37秒 專家曝這長度：要100年
在這個網路發達的時代，各種社群媒體等帳號都需要辦會員，而密碼的設定相當重要。總部位於美國維吉尼亞州的資訊科技公司Hive Systems就發現，駭客只要37秒就可以破解一組8個字元的密碼，但破解一組16個字元的密碼則要花上1世紀的時間。據歐洲新聞台（Euronews）報導，科技公司Hive Systems指出，雖然密碼加密措施不斷進步，但將密碼更新為更長，包含字母、數字和符號的組合，會增加駭客破解密碼的時間。很多網站都要求密碼至少要8個字元，但專家也呼籲要「更新」，一個僅由數字組成的簡單8位數密碼，駭客使用暴力破解僅需37秒，但如果字元數增加1倍，就得花119年的時間。密碼長度若增加至16位，駭客就得花1世紀來破解。（示意圖／翻攝自pixabay）專家主張使用更長的密碼，由數字、大小寫字母和符號混合，即使是簡單的8位數，駭客也要花7年的時間才能破解，同時也警告隨著未來科技的進步，破解密碼所需的時間可能會變短。假如密碼曾被盜用，使用字典中的單字或在網站間重複使用，那麼被破解的時間就會大幅減少。假如想要測試密碼強度，可以造訪網站「Security.org」，可以得知密碼是否安全。雖然較長的密碼可以提供更安全的保護，但要管理也是一項挑戰。即使密碼強度不高，但網站通常也具有安全功能防止暴力破解，例如限制錯誤次數、雙重認證等。以前建議定期更改密碼，但現在專家強調創立強大、獨特的密碼，這種方法被認為比頻繁修改密碼更有效。
收簡訊「微軟帳號被登入」 轉頭社群帳號全被盜！用這網頁查詢駭客偷登記錄
近日，微軟帳號再傳被盜消息！一名網友在臉書分享慘痛經驗，表示3號晚上收到簡訊通知「微軟帳號被登入」，由於乍看像是詐騙，且開電腦登入後也無異狀異狀，因此他當時不以為意。不料睡了一覺醒來，驚覺重要社群帳號全被盜！事後，這名網友費了好一番工夫才一一找回帳號，為此他特別撰文，提醒網友檢查微軟登入狀況並注意防範，收到簡訊通知也不要忽視。網友在臉書公開發文分享經驗，表示自己3日晚間收到簡訊通知「微軟帳號遭登入」後，誤以為是詐騙簡訊，並未進一步檢查帳號的所有登入資訊。隔天一覺醒來，發現自己的FB、IG、Google、微軟帳號全數被盜，好在他大多帳號都有綁雙重驗證，駭客也沒有把設定移除，因此可以一一搶回控制權。接著，他透過微軟官方的「帳號登入記錄」詳查登入資訊，驚訝發現原來他的微軟帳號至少從4月初就開始被來源不定的IP以暴力破解嘗試登入，一直到3號才成功，也因此收到那封簡訊通知。他進一步透露，他大多數綁定兩階段認證的社群帳號會被盜用，可能是由於微軟帳號跟電腦作業系統有綁定同步，因此駭客在破解他的微軟帳號後，便以此冒用資訊在其他電腦上偽裝成已認證的電腦，因此成功繞過兩階段驗證的設定。不少網友見狀，紛紛進入「微軟帳號登入記錄」查詢，驚覺自己的帳號也曾遭到他人嘗試登入，趕緊開啟兩階段認證保護帳號安全。還有網友看見原PO分享的通知，認為真的不太能怪苦主，「那個簡訊看起來真的超像詐騙！」
去年就開始！俄羅斯駭客入侵管理階層信箱 微軟證實：近期才發現
微軟於19日在一篇官方部落格中表示，公司內部從2023年11月遭到俄羅斯駭客集團Midnight Blizzard入侵，部分高階管理階層與網路安全小組的一部份電子郵件內容有外洩。而微軟是直到近期才發現這起事件。根據《ABC》報導指出，Midnight Blizzard是一個由俄羅斯政府資助的駭客組織，網路上有時候也會以Nobelium的名字行事。文章中表示，Midnight Blizzard是採用了一種名為「password spraying」的手法，成功登入一個遺留在系統中菲生產測試租戶帳戶」。報導中也提到，與傳統暴力破解不同，password spraying是使用相同的密碼針對多個未授權的帳戶進行嘗試，用如此方式有機會能夠減少被系統注意到的情形。而駭客在入侵成功後，就透過該帳戶的權限，非法訪問了微軟內部極小比例高階管理階層與網路安全、法律小組的電子郵件，並且從中竊取了相關內容與附加文件。微軟在13日發現這起事件後，就隨即取消了該帳號存取帳號的權限，同時向SEC與公眾公開此次遭受攻擊的始末。而微軟也強調，截至目前為止，沒有明顯證據證明，這次遭到入侵的行為有影響到任何客戶環境、生產系統、原始碼或人工智能。
蟬聯多年還是你！最爛密碼「123456」 全球有254萬人使用
近日有VPN服務廠商推出一份統計報告，從所有外洩的帳號中，列出了2020年200組最常見的「爛密碼」，該公司提醒各位使用者，如果你的密碼在這份清單中的話，要趕快更換。根據VPN服務廠商NordPass所提出的統計報告，「123456」再次蟬聯冠軍，使用人數高達254萬人。第二名則是「123456789」，使用人數下降到96萬人。第三名到第十名分別是「picture1」、「password」、「12345678」、「111111」、「123123」、「12345」、「1234567890」、「senha」。其中比較值得一提的是第十名的「senha」，這個字其實就是葡萄牙語「密碼」的意思，狀況其實就跟拿「password」當密碼差不多。自從資訊安全意識抬頭之後，許多科技網站與科技服務公司，都會統計每年的「最爛密碼」，從2014年以來，不管是哪間公司統計，冠軍幾乎都是「123456」，少部分統計會與「password」並列冠軍。綜觀整份榜單，其實真的以純數字的密碼居多，現在由於網站、服務限制的關係，鮮少允許使用者使用純數字的密碼。但「結合大小寫字母」這個觀念其實也沒有用，畢竟當初訂定密碼建議規範的Bill Burr已經承認這都是天馬行空亂編的。如果使用者想要有個安全的密碼，根據FBI提出的建議，密碼的長度遠比複雜度重要，建議使用者可以挑選幾個英文詞，組成一句字母數「高於」15個字母的句子，像是「VoicesProtected2020WeAre 」、「DirectorMonthLearnTruck」都是不錯的密碼，FBI認為這樣組成密碼，不僅便於記憶，長度也足夠增加破解的難度。