使用者Google账户密码意识不足，导致网银存款遭盗转

个人云端账户安全问题时有所闻，密码设定不当再成焦点。上周警方侦破一起网络犯罪事件，是借由猜出用户云端账号密码，进而盗领网络银行账户下的存款。

今年7月，刑事警察局接获银行及数名被害人报案，银行账户存款遭盗转一空，损失达数百万元。根据调查，猜出账号密码的该犯罪集团，先从普遍民众使用的Google账户下手，以暴力破解方式，他们利用许多民众以电话号码作为网络账户密码的习惯，尝试登入Google账户，再从被害人的Gmail或云端硬盘，找出金融往来资料、密码，以及身份证件等资讯。

接下来，犯罪集团成员假冒被害人，拨打电话给银行客服，以变更存户联络电话，也就是改成犯罪集团持用的人头电话号码。

之后犯罪集团开始进行网络银行盗转动作，先登入被害人网络银行，并从人头电话接收动态密码，再将账户存款转至另一人头账户，最后由车手将人头账户内的钱提领出。

由于这类网络银行盗转，已经严重影响国内金融交易秩序，刑事警察局侦九大队在近两个月的调查下，于9月5日公告侦破这个犯罪集团。同时向民众呼吁，Google等账号已成为民众的重要数位资产之一，（一）勿设定易于猜解的账号密码。（二）或是将个人资讯、密码及私密档案存放云端，避免因账号遭人破解后，取得相关资料用于诈骗或其他非法用途。（三）而民众若是发现银行账户存款有遭盗领异常情形，请向申设银行反应及报案。

后续，我们向刑事局确认此事件，因为Google账户本身有提供两步骤认证，不该如此容易被猜出密码而登入。刑事警察局侦九大队队长陈诘昌表示，这些受害者并没有开启两步骤认证，当有新装置登入自己的账号的通知也被删除。

不应直接以容易被猜出的自身个资作为密码，千万别轻忽主要电子邮件账号外泄的严重性

面对这样的资安问题，民众应该警惕，密码的设定方式，不要直接以电话号码等容易猜到的个人资讯，作为密码使用。用户必须注意，方便与危机仅一线之隔。

由于过去个人资料保护不足，许多个资可能早已经被窃取。另一方面，云端服务应用普遍，许多民众意识不足，常为了方便记忆而使用自己的个人资讯作为密码，例如生日、电话号码、学号、身份证号，甚至是常用账号名称。这也让网络犯罪分子有机可趁，只要试着利用这些个人资讯，就有很大的概率猜到密码。

另外，使用者要注意“撞库”攻击的手法，也就是网络犯罪者利用网络上已经外泄的使用者账号和密码，尝试登入在其他网站或平台，看看能否登入成功并获得有用的资讯。因此，在不同网站注册时，最好不要使用同样的密码，虽然，这种方式在实务上会增加记忆的困难度，但总比账户遭人破解来得安全。简单一点，重要网站注册与一般网站注册的账号密码，最好有所区隔，限缩外泄管道。

更重要的是，用户可能轻忽主要电子邮件信箱帐密外泄的风险，这里面不仅存放许多个人资讯与资料，同时也包含个人往来的银行、服务等资讯，当其他云端服务账号在忘记密码时，要重新验证时，邮件也是用来接收认证码的管道，因此，一旦主要电子邮件信箱密码遭骇，可能导致其他平台的账号也被窃取。

过去，在一些资安议程上，我们也曾听过专家举例，关于电子邮件信箱帐密外泄跟身份证遗失相比，那个比较严重？一般人可能轻忽了邮件账号遭入侵，所衍生出的各式风险。

另一方面，像是Google等云端服务都提供两步骤认证，若是他人获得你的账户密码时，在不同装置或IP登入时，会要求以手机等方式获取验证码，来确保登入者为本人，这是用户现在对于账户安全，应该要重视的部分，才能多一层保障。当然，在两步骤认证的机制下，用户同时也要注意的是手机的安全与防护。此外，对于当有新装置登入自己的账号的通知，用户自己也必须特别留意。

刑事警察局侦查第九大队侦破的这起网络银行盗转集团案，在查获赃证物当中，也包含了不法取得的诈骗用个资，用来猜出用户Google账户密码。（图片来源：刑事警察局侦九大队）