如何应对无孔不入的新兴黑客威胁（上）

　　信息安全威胁如夏日的苍蝇一样无穷无尽。经常有这种情况，已经做好了准备措施，并针对安全风险做好了完全保护，但突然又有一个新的漏洞利用伎俩粉墨登场了。

　　不管你是正在保护企业信息资产的安全管理人员，还是努力保持个人数据安全的普通员工，各种新旧威胁都会给你带来潜在的巨大风险。下面我们分析一些新兴的安全威胁及其应对措施。

　　文本消息恶意软件

　　虽然智能手机的病毒仍很少见，但文本通信攻击已经开始兴风作浪。如今的PC都已经做好了良好的防范措施，所以黑客已开始转向移动设备。其动机当然是为了金钱。文本通信为这些不法之徒提供了赚钱的途径。

　　人们日益依赖于移动设备，针对智能电话操作系统的文本消息攻击已经不再是“有可能的事情”，不仅消费者会面临这些风险，任何使用公司智能电话的员工，如果他滥用文本消息，都有可能将企业的网络和数据置于风险之中，并有可能导致违反规范的问题。

　　这种攻击与针对普通电脑的攻击非常类似。有时，一个包含SMS或MMS附件的消息会伪装成一张有趣的或性感的图片，吸引用户打开。一旦用户打开或下载此图片，就会将恶意软件安装到设备上。在加载时，它会要求访问特权，并通过手机中可以获得此用户消息的联系人进行传播。

　　通过这种方式，黑客会构建一个可以发送文本消息垃圾邮件(此邮件拥有到达黑客欲销售产品的链接)的僵尸网络，而且每条消息都要向用户收费。

　　还有一种伎俩，即一个链接到某应用程序下载的文本消息，实际上却会下载一个木马，通过智能手机发送海量的SMS。

　　此外，对于雇员的愚蠢行为或错误，许多单位并没有采取什么预防措施。例如，某安全专家在对公司雇员进行培训过程中，用一个携带有虚假蠕虫的消息给用户发送了文本消息。在培训结束后，调查发现，许多雇员已单击了其中的链接。

　　为使恶意软件远离用户的手机，建议企业制定实施严格的策略，限制哪些雇员可以使用公司的网络和手机使用文本消息，并限制通过文本可以进行的操作。另外一个选择是完全禁用文本通信，至少在业界制定出应对这种威胁之前可以是这样。

　　对普通用户来说，理智和常识是最佳防御。不要单击来自并不认识的人所发送的文本消息链接或附件。即使对于熟悉的联系人所发送的消息也要格外当心，因为他们也会在无意中成为僵尸网络的一部分。

　　社交网络账户欺骗

　　越来越多的人使用频繁社交网络，因此易于受到社交网络账户欺骗这种新技术的攻击。其要点在于，欺诈者将自己扮演成用户认识的朋友或亲戚，然后接近用户，并欺骗用户泄露个人信息。欺诈者使用此信息访问用户的其它账户，最终窃取用户的身份。

　　在一次典型的欺诈中，黑客通过某种服务联系你，将自己扮演成一位朋友或同事或是你信任的任何人。然后，这位新“朋友”会通过文本消息或电邮直接联系你。在社交网络之外，有位新“朋友”来联系你，这看似奇怪但又似乎在情理之中，因为你相信他与你信任的某个人有密切关系。

　　还有一种情况，欺诈者有可能“变成”你已经认识的某个人，例如，宣称自己是来自某学校的老校友。欺诈者可以跟踪你的公共新闻订阅或查找你在某网站上的同事的姓名来找出你的社会关系。

　　一旦欺诈者与你建立了联系，他就可以使用隐蔽方式来窃取你的个人数据，如查明家庭成员的名字、喜欢的品牌、爱好以及其它看似不重要的信息，然后根据这些信息来猜测你的银行网站安全问题。

　　社交网络账户欺骗背后的观念根本不是什么新东西。让你透露个人信息是也是一种老伎俩。当今的社交网络仅仅为网络犯罪提供了接近普通用户的一种新途径。这种伎俩之所以起作用，在于一般没有什么方法知道你在网络上信任的那个人是否真是他所宣称的身份。

　　社交网络的一个问题是普通用户都使用Web界面，并且无法检查IP地址或报头信息。一切都显得那么美好。

　　但社交网络上的黑客们日益狡诈。他们首先要确定一个目标，然后调查：这是怎样的一个人，他在干什么，他喜欢做什么?

　　而且，社交网络攻击有时与电邮及网站欺骗相结合。你可能会与某人建立了友谊，然后收到了他的邮件，但实际这是一个骗局。在你单击了邮件中的一个链接时，你就会被带到一个虚假的网站，登录此网站会泄露你的用户名和口令。

　　还有一种可针对公司和个人的攻击。骗子可能会建立一个社交网站网页，宣称自己是公司的官方网页。为了显得更可信，骗子还可能宣称，此网页是联系公司的一种正式方法。

　　该网页还可能提供免费(当然是虚假)的优惠信息吸引着人们加入，在人们与社交网络上的其它人共享时，其危害就更大。一旦大量的人员加入，骗子就会诱骗他们提供个人信息，例如，欺骗他们说可以提供其它优惠。

　　这种攻击具有双重危害：一是消费者受到危害，因为其个人数据受到损害，二是公司受到损害，因为客户将这个假冒的社交网站与真实的公司联系起来，进而决定不再购买其服务和产品。

　　黑客们通常不会不辞辛劳地模仿一个人或公司，他们更倾向于发送链接，用钓鱼伎俩来欺骗你。有时，通过电邮的报头或IP地址就可以跟踪这种攻击，而且很多这类攻击太概括，没有针对性，对于稍微谨慎的人来说，是不容易上当的。

　　还有一些看似明显却常被忽略的预防措施。，如果有人说他是一位朋友的朋友或同事，务必要用你的常用联系方式来确认他的身份。而且，锁定你在社交网站的私密设置也是一个不错的办法，因为此时你的联系人信息、帖子、照片等内容对任何人都是不可见的。

　　对公司而言，没有什么办法可以阻止黑客建立一个假冒的社交网页，但公司可以监视其公司的名字在网络上的使用情况。如果出现了一个未经授权的网页，公司就应当要求社交网站清除这些假冒的东西。