全球遭盜帳號多達33億個，Google新研究找出帳號被盜3大主因

郵件及社群網站帳號遭劫持盜用事件時有所聞，但究竟原因為何？Google一項研究顯示，第三方外洩攻擊、網釣郵件與鍵盤側錄是主要原因，其中又以網釣郵件威脅最大。

為了解帳號綁架的原因，Google與加州大學今年初和柏克萊分校進行了一項為期一年的研究。從2016年3月到今年3月研究團隊針對黑市裏帳號綁架者竊取到密碼與敏感資料的手法進行分析，他們追蹤多個買賣第三方密碼竊取工具的黑市和2.5萬項用於網釣和鍵盤側錄的工具，最後分析發現，78.8萬個帳密是以鍵盤側錄軟體竊得，經由網釣偷到的有1200萬個，而因為第三方外洩攻擊而曝光的更多達33億個。

在第三方攻擊而外洩的資料中，12%包含Gmail信箱的用戶名稱及密碼，而這些密碼中又有7%因為共用於不同帳號而是有效密碼。在網釣郵件及鍵盤側錄手法中，成功竊取Gmail的比例則為12-25%。

但光是密碼外洩並不能綁架Gmail，想必駭客還取得Google用於驗證的其他資訊。研究人員進一步分析發現，82%的黑帽網釣工具及74%的鍵盤側錄工具設法蒐集用戶IP位址及地點，另有18%的工具會蒐集用戶電話號碼及裝置廠商和型號。

Google安全研究人員Kurt Thomas及Angelika Moscicki指出，經過風險綜合評估，網釣是用戶帳密的最大威脅，其次分別是鍵盤側錄軟體及第三方外洩攻擊。

Google已實施多項服務防止用戶連結到惡意網站及帳號綁架，包括網址過濾服務「安全上網」（Safe Browsing）、雙因素驗證、惡意活動掃瞄及封鎖可疑帳號等。針對高風險用戶，還提供了USB拇指碟的進階防護方案。但使用者往往是最大的安全防護漏洞，因此Google建議用戶確實填寫安全設定檢查（Security Checkup）裏的回復帳號的相關資訊，並啟動Smart Lock功能，讓Chrome為帳號自動產生密碼。

密碼不再安全了？Google一年內成功被駭2.3億次，4個自保方法搶先看

網路帳號被駭的威脅不曾少過，尤其像Google這樣擁有龐大用戶數的公司，更容易成為駭客目標，因此Google研究人員與柏克萊大學網路安全專家合作，花了一整年的時間追蹤駭客如何竊取密碼，以及分析如何將這些資訊暴露到網路黑市中。

研究結果顯示，駭客主要透過第三方外洩攻擊、網路釣魚兩種方式竊取用戶密碼，其中又以網路釣魚的手法最為嚴重，當密碼不再是絕對安全的保障，究竟一般用戶有什麼方式可以自保呢？

第三方外洩攻擊共測得33億次，但實際成功率僅7%

Google與柏克萊大學以Google 帳號作為評斷標準，在為期一年的研究中，發現第三方外洩攻擊、網路釣魚為兩大主要威脅。

用戶密碼是許多駭客爭相爭奪的寶藏，特別像是Google帳號可以同時存取Gmail、Google Docs、Google Drive等服務的資料，研究中一共記錄到了33億次第三方外洩攻擊，實際成功被盜取的成功率只有大約7%，舉例來說，如果用戶的Google帳號跟MySpace帳號使用同一組相同密碼，當MySpace被駭客攻破時Google帳號也就會很危險，駭客只要使用在MySpace上被攻破的密碼不斷嘗試，就有可能會找到漏洞。

但光是取得密碼並不能完整獲取用戶所有資料，還必須搭配其他認證資訊，研究人員發現，有82%的釣魚工具及74%的鍵盤側錄工具，會設法蒐集用戶IP位址及位置。