不良份子於節日繼續濫發垃圾訊息 「數據外洩」即是用戶資訊被公開或盜取的保安事故，一直是各類機構十分關注的嚴重問題。客戶數據外洩，不單會令用戶對有關機構失去信心，甚至有可能引致該機構違反數據私隱條例，或要面對用戶所提出的訴訟。 Symantec 於 8 月份網絡安全報告內分析了 2012 年全球數據外洩趨勢，11 月份網絡安全報告繼續探討數據外洩事故內被盜取的熱門數據類別，結果顯示用戶本身的個人資訊是最常被盜取的訊息，令不少人感到意外。 研究結果發現，原來用戶的真實姓名是現時數據外洩事故內最常被盜取的項目，比率高達 55%（見圖一），甚至超過了與網上身分和帳戶有關的用戶名稱和密碼（40%）。過去數年，網上留言板及網上遊戲是出現數據外洩事故的熱點，但這些已過氣的熱點通常只要求用戶提供用戶名稱或化名，較少涉及用戶真實名稱，反映黑客已轉變目標的趨勢，他們現時喜歡瞄準受害者以真實姓名辦理各種事務的場合。 數據外洩事故內所洩露的資訊類別 逾 80% 在本年度發生的數據外洩事故，受害機構均並非以互聯網作為主要業務渠道，例如醫療保健和教育領域，他們的網上服務通常只為方便用戶而設，並非主要業務的門戶。這些機構把網站視為額外的輔助服務，因此在網上安全方面會較為掉以輕心，令有意盜取數據的黑客有機可乘。 11月份網絡安全報告亦顯示了節日垃圾訊息的趨勢。不良份子利用節日作為幌子，趁機誘使用戶瀏覽他們兜售的貨品，情況與過去數年相似，顯示節日垃圾訊息已成為慣例。 分析顯示本年度的趨勢，可見以重大日子為主題的電郵不斷增加。下圖顯示11月份一些電郵主題： 然而，雖然這些垃圾訊息以節日作主題，但訊息內容似乎與節日本身沒有多大關連。 這些垃圾訊息帶領用戶進入的其中一些網站，似乎略花了一些心思來配合節日主題，例如製作了一些配合節日氣氛的橫額。但有些橫額粗製濫造，例如下面的橫額帶領用戶飛躍一年時光，率先踏入明年（2013 年）的聖誕節。

轉眼又到年終，Symantec 值此機會為　閣下預測未來一年的網絡安全趨勢。 Symantec 向來實事求是，致力基於事實和實際數據來判斷事情，但在預測未來趨勢的時候，就難免會涉及一些推測。我們在作出下列 2013 年趨勢預測之前，集思廣益，收集了 Symantec 旗下數百名安全專家的意見和想法，並經過反覆討論和辯論，去蕪存菁，得出了下列五大趨勢的預測。這些預測可以展望網絡威脅的未來形勢。 Symantec 一方面基於現時所觀察到的事實，同時亦反映了我們對未來所作的一些推斷，這些預測都是綜合我們多年來的技術專長、對網絡威脅發展的了解以及過往預測網絡安全趨勢的經驗。 1. 網絡衝突常態化 在 2013 年及往後日子，國家、企業和個人之間的摩擦，將會對網絡世界產生舉足輕重的影響。 網上間諜活動可以取得極佳效果，而就算東窗事發，肇事者也較易脫身。若任何國家對此有任何懷疑，只要回顧一下過去兩年來的眾多例子，便會有關真實情況有更深入的認識。個別國家或人士所組成的群體，將繼續採用戰術性網絡攻擊行動來破壞針對目標所在受保護資訊或財產。Symantec 預計 2013 年網絡世界將會出現漫天烽火，無論是國家、機構甚至個別人士組成的群體，均會利用網絡攻擊來展示實力及向對方「傳遞訊息」。 此外，我們預計網絡上將會出現更多針對個人及非政府組織的攻擊，例如支持某些政治議題的人士，或者與人摩擦的弱勢一方成員，均會成為攻擊對象。現時我們也觀察到這類攻擊，主要是黑客群體針對一些觸怒了他們的個人或企業發動襲擊。 2. 勒索軟件成新興恐嚇手段 犯罪集團採用偽冒防毒軟件的網絡攻擊手法日漸式微，取而代之的是「勒索軟件」（Ransomware），這種全新、更狠辣的的犯罪模式將大行其道。 勒索軟件放棄了慣常通過欺詐手段來企圖欺騙受害者的方式，而是更直接地採用恐嚇和欺凌的手段來勒索受害者的金錢。雖然這種「營運模式」已不是甚麼新鮮事物，但過往它與真實世界的綁架案面對同一問題，就是欠缺萬無一失的贖金收取方式，因此不會過於猖獗。然而，現時網絡罪犯已經發現了收取贖金的最好方法：網上付款方案，因此他們能夠肆無忌憚地以強硬手段對受害者進行勒索，省卻以謊言來欺騙目標。由於網絡罪犯再毋須依靠欺詐手段來騙取受害者的金錢，因此我們預計這種新興的勒索軟件將變得更加猖獗，造成更嚴重破壞。 在 2013 年，攻擊者將使用更專業的勒索手段，藉此刺激受害者的情緒，以及對所挾持的「人質」施以更難復原的破壞。 3. 瘋狂軟件日益失控 「流動廣告軟件」（Mobile adware）又稱為「瘋狂軟件」（Madware），不單對用戶帶來滋擾和影響，甚至有可能向網絡罪犯洩露用戶身處的地點、聯絡資料和裝置標識編號等資料。瘋狂軟件會趁用戶下載流動應用程式時潛入用戶的裝置內，時常會發出彈出式訊息、加入圖示、改變瀏覽器設定，甚至盜取個人資訊。 單計算過去九個月，暗藏高侵略性瘋狂軟件的流動應用程式已增加 210%。廣告網絡能夠合理地搜集用戶身處位置和裝置資訊，以便向目標用戶提供合適的廣告，因此我們預計更多企業將透過流動廣告帶動收入增長，令瘋狂軟件更加大行其道。通過「免費」流動應用程式來獲得金錢利益的方式，包括更具侵略性甚至潛在的惡意手段。 4. 社交網站拓收入惹危機 作為消費者，我們都十分信賴社交網站，不單在這些平台上分享自己的個人資料，甚至願意花費金錢為遊戲點數充值，或者購買真實禮品送贈親友。隨著這些網站開始尋找新方式開拓收入，例如讓會員購買和送出真正禮品，推動了社交消費的趨勢，同時為網絡罪犯提供了發動攻擊的新機會。 Symantec 預計越來越多惡意攻擊會在社交網站盜取付款憑證（payment credentials），或者騙取用戶的付款帳戶資料和其他寶貴個人資訊，藉此欺騙社交網站平台。網絡罪犯或會利用偽冒的禮品通知或電郵，騙取用戶提供住址或其他個人資料。用戶提供這些資訊，表面上看似毫無傷害，亦不直接涉及金錢交易，但實際上網絡罪犯會互相出售或共享手上的資訊，如果把所有關於某一位用戶的資料結合起來，便可有能登入用戶手上的其他帳戶。 5. 網絡罪犯轉用流動技術和雲端 無論用戶去到哪裏，網絡罪犯也會聞風而至，流動裝置和雲端也不例外。 流動平台和雲端服務很可能會成為 2013 年的熱門攻擊目標，一點也不令人意外。2012 年 Android 平台上的惡意軟件增長迅速，就是有力的證明。 此外，許多機構繼續容許未經妥善管理的流動裝置不斷存取企業網絡，甚至讀取日後可能會存放於其他雲端的數據，令流動裝置數據洩漏、網絡成為攻擊目標的風險顯著增加，因為用戶在手機安裝新的流動應用程式時，也可能會被惡意軟件入侵。 部分流動惡意軟件會重複其他舊有威脅的手法，例如盜取裝置上的資訊；它們也可能會把舊有惡意軟件的手法翻新。例如寬頻網絡尚未普及時，許多用戶通過調制解調器利用電話網絡撥號上網，當時一些惡意威脅會令電話撥打黑客擁有的 900 號碼，從而收取費用；時至今日，個別流動惡意軟件仍會透過發送收費短訊從中獲利的。我們肯定流動通訊將會在 2013 年繼續進步，很可能也會為網絡罪犯帶來新的攻擊機會。 舉個例子，隨著 eWallet 電子錢包平台日益普及，將會成為另一個黑客攻擊目標。流動通訊服務供應商和零售商戶不斷發展流動付款的方法，並開拓各種消費途徑，因此令流動裝置的價值與日俱增。我們看到威脅 Wi-Fi 用戶的 Firesheep 崛起，也將會看到罪犯利用惡意軟件劫持我們在零售環境內的付款訊息。一些獲科技新手廣泛採用的付款系統或許暗藏漏洞，令黑客有機會盜取有關資訊。 SSL 流動基礎設施的極限將會在 2013 年受到挑戰。流動運算應用將於 2013 年持續上升，令 SSL 流動基礎設施的負荷大增，另一個核心問題將會浮現：流動裝置瀏覽器上的互聯網活動，並不符合正統的 SSL 認證處理；而且許多流動互聯網應用均由安全性欠佳的流動應用程式處理，帶來更多風險，用戶將面對如中間人攻擊，令安全問題進一步惡化。