轉自INSIDER PRO，作者James A. Martin，藍色摩卡譯，合作站點轉載請註明原文譯者和出處為超級盾！

小編翻譯的內容為筆者James A. Martin母親葬禮發生的事：他收到一條好像是從的銀行寄來的短信：“有人試圖登錄你的賬戶，”消息警告說，並提供了一個鏈接，讓他點擊並驗證你的身份。因為情緒悲傷而混亂，他點擊了鏈接。

一個看起來合法的、針對移動設備進行了優化的網頁出現了，要求輸入借記卡密碼作為驗證。還沒想清楚，就輸入了密碼。當時沒有收到短信回覆，告訴身份已經驗證，他終於意識到被騙了。小編吐槽：（——）缺德的騙子。

在接下來的幾分鐘裡，他給銀行打了電話，更改了密碼、用戶ID和密碼。幸運的是，經過幾個月的密切監控，他沒有發現賬戶有任何問題——儘管後來收到了三條後續的釣魚信息，但他機智的沒有理會。

網絡釣魚——通過短信發送的網絡釣魚攻擊——是網絡安全威脅之一，在我們這個日益以移動為中心的世界裡，這種威脅正日益受到重視。

2018年，接受Proofpoint網站Phish報告狀態調查的受訪者中，有49%表示他們遭遇過網絡釣魚或網絡釣魚(語音釣魚)攻擊，這一比例略高於2017年的45%。

與此同時，根據McAfee的2019年移動威脅報告，2018年移動惡意軟件事件增加了550%。

為什麼針對移動用戶的攻擊越來越多?因為它們經常奏效。

移動設備還存儲了大量關於我們以及我們為之工作的公司的信息，攻擊者試圖利用這些信息。你可能不知道的7個移動安全威脅：

1. 短信詐騙

因為它們與平臺無關，對iOS和Android用戶的影響是一樣的。“社會工程攻擊不在乎你用的是什麼牌子的手機。”

雖然網絡安全專業人士通常都知道網絡釣魚攻擊，但許多智能手機用戶並不知道。鑑於網絡攻擊的增加，CISOs和網絡安全專業人士面臨著挑戰。

根據Verizon的2019年移動安全指數，85%的網絡釣魚攻擊發生在電子郵件之外，比如短信。報告指出，雖然許多組織都有過濾機制阻止電子郵件攻擊，但很少有組織有類似的保護機制來防範電子郵件之外的釣魚攻擊。

然而，這種情況正在開始改變。Gartner安全、身份和風險團隊的高級研究分析師Patrick Hevesi指出，在過去一年左右的時間裡，移動威脅防禦(MTD)供應商已經在他們的軟件中添加了針對移動釣魚的保護。

安全教育組織Social Engineer, Inc.指出，定期與員工進行模擬的網絡釣魚攻擊可能會有所幫助，就像向用戶發送虛假的網絡釣魚郵件可以幫助他們學習如何識別詐騙一樣。

2.下載欺詐應用的短信

你可能知道，在谷歌和蘋果應用商店之外的應用程序最多隻能算是冒險的。你可能沒有意識到的是，罪犯可能會試圖欺騙你，以聰明的方式下載他們的惡意軟件——比如給你發短信。

例如，根據McAfee的2019年移動威脅報告，基於安卓系統的惡意軟件TimpDoor在2018年成為移動後門惡意軟件家族的老大。

附帶的語音播放器應用程序的鏈接提供了詳細的說明，以啟用來自未知來源的應用程序。單擊該鏈接將安裝一個假的語音消息傳遞應用程序，其中顯示兩條消息。

除了播放所包含的音頻文件的按鈕或圖標外，其他按鈕或圖標都不起作用。”

欺詐性程序在後臺運行，並使用該設備作為內部網絡的入口點，這種威脅很可能演變成“點擊廣告欺詐、分佈式拒絕服務攻擊、發送垃圾郵件和網絡釣魚郵件”。

與短信詐騙一樣，第一道防線是訓練用戶識別並報告虛假短信，此外還有移動安全應用程序，可以掃描設備和配置，尋找異常連接。

3.手電筒軟件(數據竊取應用)

試圖訪問手機數據的惡意應用程序是一個重大威脅，尤其是在谷歌Play store中。第三方手電筒應用程序是一個經常被引用的例子。

儘管iphone和Android手機都有手電筒功能，但免費的第三方手電筒應用程序提供了閃光燈等附加功能。問題是，谷歌播放商店中的一些應用程序要求的權限數量非常多。

Hevesi說:“一個Android flashlight應用程序開發人員打開了每一個可能的許可，這樣當手機關機的時候，應用程序就可以一直開著，聽電話，記錄你的位置，訪問你的聯繫人。”“手電筒應用程序應該只允許訪問您的相機的閃光燈。”

Hevesi建議培訓用戶仔細考慮任何下載應用程序請求的權限，並拒絕任何看起來過多或不必要的請求。

Wisniewski建議在下載任何免費應用程序之前都要謹慎，除非它是來自你認識並信任的開發者(比如微軟，它提供免費的應用程序，比如Do和OneNote)一個提供合法的應用內購買的免費應用程序。

他解釋說:“開發人員需要以某種方式將他們的應用程序貨幣化，所以他們經常會開發像flashlight這樣的免費應用程序，這些程序會秘密收集你的信息並賣給第三方。”

“如果你像大多數人一樣，在沒有閱讀許可協議的情況下就接受了它，你甚至可能已經給了他們這樣做的許可。”

4. 暗中收費軟件

Fleeceware是Sophos創造的一個術語，指免費(或低成本)的Android應用程序，提供簡單的功能，比如條形碼和二維碼掃描。但是，你不知道的是，這款應用會定期向你收取大筆費用。

Wisniewski解釋說，雖然你可能認為這款應用程序是免費的，但事實上，fleeceware應用程序只會給你一個短暫的免費試用，它利用了谷歌Play store的免費試用功能。

一旦試用結束，你可能會被收取數百美元(或歐元)。例如，下載了Android GIF maker應用程序的用戶，如果在免費試用後忘記取消訂閱，將被收取約240美元。

“在你的信用卡賬單上，這筆費用似乎來自谷歌，”這可能會讓一些人相信這筆費用是合法的。

Wisniewski說，大部分的fleeceware應用程序已經從谷歌的應用程序商店中移除，而一些通過蘋果應用程序看門人的應用程序也很快被移除。

儘管如此，fleeceware還是讓

5. 隱藏的廣告

Malwarebytes的移動惡意軟件分析師阿曼多·奧羅茲科(Armando Orozco)表示，顯示隱藏廣告的Android應用程序正變得越來越普遍。

他表示:“隱藏的廣告軟件組件可以在你不知情的情況下安裝和運行，不會有明顯的惡意，同時可以為壞人提供穩定的收入來源。”“它們通常以假冒或重新包裝的應用程序的形式出現，或以非常類似的合法應用程序的形式出現。”

在這裡，再次提醒用戶在安裝應用程序之前要仔細檢查。此外，許多Android和iOS的安全應用程序可以定位和刪除廣告軟件和惡意軟件。

6. SIM劫持

也被稱為SIM卡交換或SIM卡黑客，SIM卡劫持是指攻擊者通過社會工程或其他策略，能夠將你的手機號碼切換到他擁有的SIM卡上。

一旦攻擊者控制了您的電話號碼，他就可以截獲通過文本消息發送的雙因素身份驗證代碼，從而使他能夠訪問您的電子郵件、銀行和其他賬戶。美國聯邦調查局(FBI)警告稱，SIM卡交換也被用來訪問受害者的數字貨幣賬戶。

網絡安全評級平臺SecurityScorecard的首席研發官亞歷克斯·海德(Alex Heid)建議，為了將風險降到最低，請聯繫你的無線服務提供商，並設置一個密碼、一個秘密字或另一種形式的附加驗證。

Heid說，要格外小心，獲取一個單獨的私人電話號碼，只用於銀行賬戶和其他金融機構。

他解釋說:“如果你是SIM卡交換的目標，那麼你分發給朋友、家人、商業夥伴、社交網絡和消費者服務的公共電話號碼將是攻擊者試圖使用的第一件事。”

“如果你有一個只有你和你的金融機構知道的私人電話號碼，那麼攻擊者通過這種方法進入你的賬戶的可能性就會大大降低。”

7. 監視軟件

所謂的監控軟件旨在捕獲和傳輸敏感的用戶信息，如短信、語音郵件或電話對話錄音。

例如，網絡安全公司Lookout稱其在2019年發現了“Monokle”，這是一套由俄羅斯特殊技術中心有限公司開發的複雜的自定義Android監控軟件，該公司因干涉2016年美國總統大選而被制裁。

精彩在後面

Hi，我是超級盾

更多幹貨，可移步到，微信公眾號：超級盾訂閱號！精彩與您不見不散！

超級盾能做到：防得住、用得起、接得快、玩得好、看得見、雙向數據加密！

截至到目前，超級盾成功抵禦史上最大2.47T黑客DDoS攻擊，超級盾具有無限防禦DDoS、100%防CC的優勢

閱讀更多 超級盾 的文章

關鍵字: 網絡安全 App Store