资安一周27期：史上最大个资外泄Collection #1曝露7.7亿用户个资、抓漏酬劳偏低难吸引优秀白帽骇客
Troy Hunt
0117-0123 一定要看的资安新闻
＃资料外泄 ＃电子邮件账号检查网站
史上最大个资外泄Collection #1曝露7.7亿用户个资
推出Have I Been Pwned？自我个资检测平台的资安专家Troy Hunt于17日时，在部落格揭露一起大规模资料外泄事件，引发Wired、Gizmo、CNET等媒体争相报导。
Troy Hunt指出，近期骇客一口气在地下论坛分享了逾27亿笔账号资料，命名为Collection #1，号称汇集来自近3千起攻击所得手的内容，并公开放置在Mega云端空间里。经由Troy Hunt汇整之后，这些资料一共有7.7亿个不重复账号、2,100万个不重复的密码。详全文
＃应用程序漏洞 ＃HTTP ＃中间人攻击
ES File Explorer出现可用来窃取资料的漏洞
知名的Android平台档案管理软件ES File Explorer出现设计瑕疵。两名安全研究人员先后发现，该App与外部装置传输时，采用未加密的HTTP连线，导致流量可被骇客以中间人（MITM）攻击截取。上述漏洞已编号为CVE-2019-6447，予以列管，推出该应用程序的业者则于18日推出4.1.9.9版，修补上述弱点。
其中一名研究员打造出概念性验证攻击程式，可成功读取装置上的内容，并取得其中的档案或是执行程式；另一名研究员则在YouTube发布模拟攻击影片。详全文
（图片来源：Google）
＃应用程序漏洞 ＃隐私保护
Android版推特应用程序漏洞导致隐私推文曝光
推特公告Android版应用程序存在漏洞，此问题导致所有人都看到用户未公开的贴文。该漏洞自2014年11月3日就存在至今，该公司直到今年1月14日才予以修补。
该问题的来源，是推特提供的“保护你的推文（Protect your Tweets）”功能，用户一旦启用后，所发表的推文只有粉丝才能检视，但是，用户如果曾经变更个人资料内容，此功能就会被关闭。详全文
＃应用程序市集乱象 ＃广告诈骗
15款热门导航App竟是骗取用户点击广告的软件
在Google的Play应用程序市集中，冒牌App在软件市集名列前茅，可说是时有所闻。最近，ESET工程师Lukas Stefanko指出，他针对Play市集的导航类别里，前15款市集推荐软件进行调查，发现这些App大多粗制滥造，仅是包含Google Maps的广告软件，其中部分软件要求使用者必须付费，才能关闭广告。
讽刺的是，在欧美知名的导航应用程序，像是TomTom或是Waze，反而没有在市集推荐名单里。而上述的15款广告软件，总共被下载超过5,000万次，这种凭借假的画面截图，挂羊头卖狗肉的情形极为泛滥，Lukas Stefanko认为，会对Android生态圈带来严重伤害。详全文
＃国家级攻击 ＃个资外泄
韩国国防部采购单位惊传遭骇
根据韩国媒体报导，去年10月韩国国防部旗下的国防采购计划署，传出超过30台电脑遭骇，其中至少10台电脑的资料外泄。虽然军方的调查报告指出，泄露的资料并未涉及机密，不过，韩国国会议员质疑，由于该部门负责采购武器与军用品，报告内容可能掩饰了实际损害情形。
这起事件，让人联想起时间相近的另一起攻击，那就是收容从北朝鲜逃离人士的安置中心遇害，导致可能有近千名脱北者个资外泄。详全文
＃抓漏悬赏 ＃白帽骇客
抓漏赏金偏低，难以吸引优秀白帽骇客进场
许多公司都相继推出悬赏抓漏的计划，吸引白帽骇客协助找出系统上的弱点，然而，白帽骇客能够以此为生吗？最近上架、由麻省理工学院（MIT）专家编写的《资安新解决方案》（New Solutions for Cybersecurity）一书便明确指出，以脸书的抓漏专案为例，最为优秀的漏洞猎人每个月平均能找到0.87个漏洞，平均年薪为34,255美元（新台币106万元），但上述酬劳比起美国密西西比州除虫公司的员工薪水还要低。换言之，相较于找出程式上的臭虫，消灭真正的害虫还比较值钱一些。
该书作者认为，这样的获利，并不足以吸引真正的人才投入抓漏，也表示这些骇客需要更多的推力，才会参与相关专案。至于目前悬赏抓漏计划主要吸引到了两种类型的人，其一是薪资水平较低地区居民，再者则是进行资安研究的学生。详全文
＃个人隐私 ＃企业资料收集
超过7成美国民众不知道脸书收集自己兴趣资料
针对脸书推送给用户特定广告内容的情况，皮尤研究中心（Pew Research Center）2018年9月在美国进行调查，发现接近3/4的受访者，对于脸书收集自己兴趣等资料，进而用于广告投放上，竟毫不知情，而且，等到研究人员展示脸书的个人广告偏好设定页面之后，用户往往才惊觉个人资料遭到脸书收集、归类。
这份研究报告中同时指出，多达51%受访者认为，他们对脸书分类个人喜好的做法，感到不舒服，再者，即便美国是融合多元文化的国家，却仅有21%用户能接受多元文化。详全文
＃个人隐私 ＃企业资料收集
苹果首席执行官库克督促国会与FTC保障民众隐私
向来致力保护使用者隐私的苹果首席执行官库克（Tim Cook），最近透过时代杂志（Time Magazine）专栏，呼吁美国国会及联邦贸易委员会（FTC），应分别透过全面性立法，以及建立资料掮客的清算中心等机制，来保障民众的隐私。
库克提出企业运用个资4大原则，首先应该尽量减少收集的资料，其次则是能让消费者了解企业所收集的范围与原因，再者，则是允许消费者存取、修正，或是删除个人资料，最后企业必须保障相关资料安全。
除了企业所收集的个资之外，库克还点出个资暗中流窜的现象。例如，企业把用户资料卖给资料掮客之后，大多数消费者在电子商城购买商品的同时，个资就会被转手，这些掮客再将资料转卖出去。。详全文
＃国家级攻击 ＃商业机密窃取
美国打算针对华为窃取商业机密提出刑事诉讼
关于华为是否涉及暗中为中国政府从事间谍活动一事，可说是疑云重重，最新的进展，则是美国联邦检察官最近打算从该公司窃取商业机密的官司下手，提出刑事诉讼。其中包含的事件之一，便是华为试图偷窃T-Mobile的手机测试装置Tappy。
根据华尔街日报等媒体的报导，联邦检察官以上述民事诉讼案件为基础展开调查，而且发现受害的美国企业不只T-Mobile，相关调查已接近完成，估计很快就会提告。详全文
