閒聊漫談 on 資安見聞錄

[提醒] 又接到詐騙電話，請注意個資外洩的問題

Tue, 23 Aug 2011 10:50:00 +0000

最近在一家新成立不久的網路書店買過書，就在今天下午5點半左右，我接到一通聲稱是該公司服務人員的電話(+022752-4815)，其實在電話號碼前出現+號，除非您有很多老外朋友，否則往往就是讓人覺得可疑的地方，不過死豬不怕燙的我，還是接了起來，在吵雜的背景音下，一開始對方感謝我在網站上購書，說最近又到了很多新書，要我有空可以多上去逛逛。

但接下來話鋒一轉，她正確地說出我曾在何時購書、金額是多少，以及是在哪家超商取貨，然後就是典型的詐騙說詞，聲稱雖然我是在超商付款，但是因為人員作業疏失，導致分期重複扣款等等(真不知都已付現了，是要怎樣分期…)。

由此初步可以判斷，這家公司在購物流程上可能存在安全漏洞，導致消費者購物資料有外洩的可能，雖然該公司在網站上已有SSL安全機制，但這並不代表整個流程(物流、資訊流)是安全無虞的。

所以站在消費者的立場，我還是寫了一封信到客服信箱，建議該公司應注意加強資安的控管(尤其那些能取得資料的合作廠商)，並且在網站首頁上多加宣導，提醒消費者要小心注意，以免受騙上當，而影響該公司聲譽和日後購物的意願。

可惜的是，這封信居然被退了回來，看了一下退信的訊息(Over quota)，難道是和我一樣的好心人太多，把人家的服務信箱給灌爆了嗎？

有趣的是，在我寫這篇文章的同時，另一通電話也打來了(+22371-0350，他們忘了區碼要加一個0)，一樣冒稱是這家網路書店，一開始同樣是謝謝我在網站買書，然後又提到我之前幾月幾號買書，一共是多少錢(數字都完全正確喔)，當我追問她我買了什麼書時，她卻說她是快遞部(辛苦了，還要充當客服)，所以不知道購買的內容。

不過，這次她換了一套說詞，雖然同樣是人員作業疏失，但沒有分期了，而是把我當成批發商，以後買書都可用批發價，問我要不要加入，還要請她們主任跟我談，但我實在是不想再聽廢話了，所以就掛斷不接了。

只能說，詐騙集團的花招甚多，連假冒本地的電話，也都弄成是別人家的傳真號碼，若是真要打回去，恐怕也找不到人吧，只能提醒大家多多小心囉~

[更新 @8/23]
嗯~看來我只是其中一位受害者，該業者的臉書已經po出提醒，要大家小心了。

[更新 @8/24]
在網站首頁也有對於詐騙的公告說明了~

[閒聊] 做資安，讓我們一起Nike Nike!!

Sat, 28 Nov 2009 05:10:00 +0000

在今年年初的時候，和雜誌社的編輯朋友談起，受到全球金融風暴的影響，大多數企業都會節省支出，藉此渡過不景氣的寒冬。

「那麼原本預算就不多的資安工作，這時候究竟該怎麼辦呢？」他問。因此，也就醞釀了這一篇「談企業如何省錢做資安」的文章。

其實我相信所談的內容，大多數的管理人員都知道，只是平時缺少了動力去執行而已，這也點出了資安管理工作常犯的一項疏失，那就是「知而不行」。

例如：IT人員知道系統存有一些安全漏洞，但就是遲遲不去作更新；員工知道公司的上網安全規範，但就是不願意去遵守。

等到發生了資安事件之後，大家再來互推責任，然後隨著時間一久，一切又恢復照舊。這樣下去，想要做好資安，往往只是白費功夫。

到了年底，如果你負責的資安工作，還在原地踏步的話，那麼也該加緊腳步了。套用一句以前老師常用來勉勵學生的話，那就是做事學習都要記得「Nike Nike」，做資安，當然也要讓我們一起「Just do it~!!」。

[閒聊] 網路世界，你想要有多安全？

Mon, 09 Nov 2009 05:07:00 +0000

曾經和一位對病毒很有研究的專家朋友聊天，提到現在許多變種的木馬和加殼病毒真是厲害，往往令人防不勝防，因此對於防毒公司來說，並不會花太多工夫在加強病毒的偵測技術上，大多只能專注在處理當下廣泛散佈的病毒，並且盡快地更新特徵在病毒碼中，提供給使用者下載更新。

如果你是個經常中樂透的幸運兒，又剛好碰上了只有幾個人才有緣相見的木馬，若想要尋求防毒公司提供解藥，個人猜想他們應該是不太會搭理你的問題。

從事資安這一行，經常被問到的一件事就是：哪一套防毒軟體最有效？到底是紅牌、黃牌，還是綠牌好？回答這一類問題，對於非常認真的朋友，我會提供一些國外的測試報告給他，請他參考數據分析的結果；如果只是隨口問問的人，我的答案通常會是，只要挑市面上有聽過的大廠牌就可以囉。

至於那些對防毒軟體效果本就心存疑慮的人，我會試著提醒他們說，基本上防毒軟體並不能完全解決未知的病毒，預多只能協助你清除掉目前普遍傳染的病毒。換句話說，安裝防毒軟體有點像是雨天撐傘一樣，你不撐鐵定會淋得一身溼，若撐了傘的話，至少重點部位還是有保障的。

專家朋友說：「萬一電腦中了毒真的找不到解藥，那乾脆就不要解了，當作得個小感冒，可以強身；不過，偶爾感冒一下沒關係，千萬要懂得去避免大病纏身，才不會一病不起。」我倒蠻喜歡這個說法，當然，這並不是說中了毒之後就別管它了(小心傳染給親朋好友時會被追殺)，而是提醒大家真的不必太過執著，萬一解不了病毒，還可以選擇其他的方法，例如把硬碟格式化後重灌系統，這樣可能會有損失但也可順利重生。

每次講資訊安全的第一堂課時，我總是會提醒來參加的朋友說：「網路世界裡沒有百分之百的安全。」也就是說，資安風險是不太可能完全消除的，所以在我們的生活中，只能盡力尋找各種風險應對之道，回到資安的行話就是，對於風險要事先尋求適當的控制措施，萬一事件還是不幸發生了，那就選擇能夠接受的處理方法，並作為下一次努力改善的目標。

關於危機的應對，我記得有個不錯的例子，那是雲門舞集創辦人林懷民在排練場火災事故發生之後，接受媒體的訪問時談到：「大火時我為何能夠從容面對，因為在那個當下你什麼都做不了，半夜二點大火，我三點多就趕到了，看到現場真的覺得無能為力，所以乾脆就坐下來抽煙，但是我心裡想，在大火的隔天，我們一定要照常開工。」

所以，面對網路上的風險，與其害怕得因噎廢食，倒不如做好該有的防備，然後選擇從容應對。