編輯部
教育員工了解哪些連結可以點選或不可點選的防護方法已經過時；今天，員工面對的是敵暗我明的網路環境，就連知名的網站也遭利用，在不知情的情況下成為路過式下載 (drive-by download) 攻擊的主機，自動安裝那些包含 web 威脅或惡意程式的內容；此外，還有來自朋友的即時通訊內容和預警訊息，這類內容看似安全但卻讓你的電腦自動下載一些用來竊取資訊的軟體，或者吸收你的電腦成為網路犯罪資源的一部分。
為了消除安全防護的灰色地帶，排除員工在信任與不信任之間的的疑慮。我們針對這些看似安全實則不然的網路資源，將網路犯罪者慣用的手法列舉如下。
知名網站：能夠吸引大量的群眾點閱，但對於 iFrame 和 SQL 隱碼攻擊的防禦能力較弱，因此成為網路犯罪者下手的目標。惡意程式在被偵測和從網站移除之間，不過短短幾個小時，即可感染許多使用者。隱碼程式設計簡單，只要幾條指令 (scripts) 或指標 (pointer)，不需使用者點選或執行任何動作，即可自動指向一個由中繼伺服器和惡意程式下載主機構成的網路犯罪網格，完成惡意內容的傳送。
偽裝的軟體更新：假冒知名廠商發送軟體更新的通知常讓使用者誤入陷阱，並在嘗試取得 web 內容時產生不快的經驗。使用者信任知名的軟體品牌，例如 Adobe Flash Player 更新、 Microsoft 更新程式以及其他廠商軟體或瀏覽器外掛程式。這類攻擊利用如 web 影片的內容吸引使用者，當使用者點選之後會連結到一個看似合法的網站，然而使用者必須接受偽裝的軟體更新才能觀看影片或獲得其他贈品。
恐嚇軟體 (scareware) ：將偽裝成軟體更新的攻擊手法發揮到極致，以偵測 web 威脅為由進行假掃描，然後發出假的系統感染警告，並表示唯有他們的軟體才能解決。然後，使用者可以選擇用信用卡購買軟體。購買軟體後，系統感染問題隨就會奇蹟似地排除。事實上，該軟體什麼都沒做，然而使用者不但花了錢，信用卡資料也遭外洩。該軟體在數個月之後可能故態復萌，重複同樣的詐騙程序。
社交網路：利用社群間的信任關係散佈惡意程式。該種詐騙方法利用你在 Facebook 或其他社交網站的好友名單，假冒你的朋友傳送 web 媒體或影片，建議你立即觀看。有時候甚至會強調你的朋友就在影片中，看起來非常滑稽有趣，提高你觀賞的興趣。事實上，你的朋友並沒有傳送 web 媒體或影片，它是一種利用親友關係進行散播的社交網路 web 威脅，已存在社交網路好幾年，以不同的形式散佈惡意程式。
(作/Blue Coat Systems 臺灣區總經理張元正)
……未完（更多內容請參閱網路資訊雜誌 2009 年 7 月號 212 期）