資料外洩最嚴重的一年!面對全新資安環境,未來五年的 4 個關鍵趨勢

2018 是人類歷史上資料外洩最嚴重的一年,據星盾科技資料指出,截至 2018 年 9 月為止,全球遭外洩個資已高達 17 億筆,大型資料外洩造成的損失金額約是台幣 1.2 億起跳,而全球每秒都至少有 900 筆資料正在外洩中。「根據我們的觀察,造成個資外洩的手法以帳密填充、帳密竊取以及網路釣魚大宗。除此之外,針對路由器漏洞的攻擊、跨平台惡意程式攻擊、 API 濫用,以及假冒行動應用程式也助長個資外洩。」星盾科技創辦人暨 CTO 林育民表示。

趨勢科技在 2018 年發布的「2019 資安報告」中也提到,釣魚軟體的危害,將在 2019 年變得更為嚴重,截至 2018 年第三季, 趨勢科技 Smart Protection Network 已阻擋超過 2 億多筆網路釣魚相關的 URL,相較於 2017 年成長接近三倍;預期 2019 年會再創高點。

而《TechOrange》在 2019 年一月時,赴泰國參與以色列資安大廠 Check Point 年度峰會 CPX 360,在會中 Check Point 也不斷強調未來資安將會迎來比過往更為嚴峻的態勢。

由此可見,2019 年世界將面臨全新的資安環境,挖礦病毒的興起、釣魚網站的氾濫,如何應對將成為企業上半年資安部署的重點方向。

美國國際數據集團 IDG 旗下的網站 CSO from IDG,提出了幾個關於 2019 年資安環境的預測,《TechOrange》在此進行資訊整理。

駭客由勒索軟體逐漸轉向挖礦病毒,同時網路釣魚也會變得更為「個人化」

隨著犯罪分子轉向其他方式以產生收入,勒索軟體將逐漸減少。據 Kaspersky 報吿,2017 年至 2018 年間遭遇勒索軟體攻擊的用戶,相較 2016 年至 2017 年期間下降了近 30%。不過勒索軟體仍然是極大的威脅,它將成為一種更集中、更具針對性的攻擊。

下降原因不外乎是尋求更有效的獲利途徑,首先是隨機攻擊下降,轉向重大針對性目標。以勒索軟體集團為例。在 2018 年期間,SamSam 針對 67 個不同組織的攻擊證據,其中醫療保健是受影響最大的行業,佔 2018 年勒索攻擊的 24%。相較過去隨機式的勒索,專家認為美國醫療保健系統容易中毒,且更有可能支付贖金。

另一下降因素是,犯罪分子發現了挖礦病毒,與其他更快速的賺錢方式。現成加密工具的數量和質量,讓駭客不需要技術熟練也能輕易獲利。根據 Kaspersky 報告,2018 年中經歷過密碼攻擊的用戶數量增加了 44.5%。而這種現象將在 2019 年繼續擴散,惡意軟體作者利用它們來破壞你的網路業務。

但並不表示個人化的攻擊可以鬆一口氣,相反地,駭客入侵電子郵件系統潛伏和學習,攻擊者將蒐集更多關於你的資訊,發動假以亂真的「個人化」釣魚郵件。他們使用他們學到的訊息,並利用定期溝通聯絡人之間的信任,發動針對性攻擊。

「數據保護政策」將會誕生

2018 年 5 月 25 日正式上路的歐盟個資保護新法(GDPR)在去年已影響了 Google 與 Facebook 等大宗網路數據公司。公司如何使用和保護個人信息的擔憂並沒有在 GDPR 誕生後減少,反而日益增加,這將鼓勵許多美國用戶要求這些公司負責。

自從 GDPR 施行之後,若是企業發生個人資料外洩事件,將面臨歐盟針對企業開罰最高 2000 萬歐元(約為台幣 7.09 億元)的罰鍰。相較之下,勒索攻擊的駭客大多要求無法追蹤的加密貨幣,支付約 30,500 到 61 萬台幣價值不等的贖金。與其被 GDPR 罰得傾家蕩產,許多受到攻擊的企業最後都會選擇支付贖金,息事寧人。

CSO 預計美國將於 2019 年,制訂類似於 GDPR 的隱私法。加州消費者隱私法已經通過並於 2020 年生效。2018 年 11 月,參議員 Ron Wyden 介紹了一項名為消費者數據保護的法案(CDPA),對侵犯隱私權的行為進行嚴厲處罰,甚至包括入獄。

政治性的攻擊將會增加,各國將對此制定網路戰規則

網路政治攻擊可能是內戰也可能是國家級戰爭,在實體戰爭中,大多數國家都已達成一套基本規則,例如不實施酷刑、禁止毒氣、禁止屠殺平民等,但在網路世界可沒有這些規則。

對持不同政見者、政客、記者等針對性網絡攻擊將繼續增長,而政府可能睜一隻眼閉一隻眼。

這種國家監督公民的手法出現在沙烏地阿拉伯的記者 Jamal Khashoggi 身上。以色列報紙 The Haaretz 報導 ,沙烏地阿拉伯政府使用以色列的網絡武器,追蹤逃亡加拿大的 Khashoggi。

對他國的網路抵制,例如北韓封鎖索尼影視、俄羅斯抨擊工業關鍵控制系統並試圖影響其他國家的選舉、中國竊取了知識產權、美國和以色列使用惡意軟件摧毀核設備等。 這些國家級的網路攻擊顯示數位國界正在瓦解,CSO 預計很快就會有一個數字戰日內瓦公約。

CSO 認為一些國家將繼續在網路戰中突破界限,「網絡攻擊者將繼續在俄羅斯、中國和北韓擁有避風港,他們將擁有比以往更多的資源,無論是來自他們的政府支持者,還是來自今年勒索軟體和加密攻擊的意外收穫。」他們將使用這些資源來找新的攻擊目標,並提高其惡意軟體的彈性和適應性。

多因素身份驗證將會成為「標配」

雖然「多因素身份驗證」還並非一個完美的解決方案,但大多數網站和線上服務預計將放棄僅限密碼登入,並提供其他必需或可選的身份驗證方法。

只使用密碼進行身份驗證,將讓社會深陷網絡釣魚和其他攻擊危機。但是所有供應商都在實施不同系統進行身份驗證,會使用戶感到困惑,將低使用者體驗成效。也 因此,多重身份驗證將發展更為標準化的規格。

未來五年資安態勢

專訪以色列資安大廠 Check Point 三位高階主管:連賭場都得做資安的時代,台灣產業該如何應對

以色列資安巨頭 Check Point 的年度峰會,交出了世上首個超大規模網路安全解決方案

大舉投入車聯網研發前,台灣政府跟產業有信心「資安零危機」嗎?

參考資料
趨勢科技的 2019 資安年度大預測:駭客攻擊由 IT 轉向 OT,人機界面是主要漏洞

動態防護龍頭「星盾科技」發表 2018 資安報告:自動化攻擊將變得「更像人」

9 cyber security predictions for 2019

(本文提供合作夥伴轉載,首圖來源:Blogtrepreneur CC Licensed)




全球醫學矚目焦點

人類逼近打破年齡、健康限制的臨界點! 搶先報名 12/6《2019 未來科技展》再生醫療場次

點關鍵字看更多相關文章: