“高級(jí)持續(xù)性威脅（Advanced Persistent Threat，APT）會(huì)同最普通的網(wǎng)絡(luò)攻擊一樣在全球泛濫；Apple Pay、Google Wallet以及各類‘微’支付的流行將會(huì)帶來移動(dòng)應(yīng)用的新風(fēng)險(xiǎn)。”這些極具寫實(shí)性、前瞻性的消息來自《趨勢(shì)科技 2015 年暨未來預(yù)測(cè)：隱藏的威脅浮上臺(tái)面》報(bào)告。

趨勢(shì)科技(中國區(qū))業(yè)務(wù)發(fā)展總監(jiān)童寧表示：“2014年發(fā)生了多起由APT攻擊導(dǎo)致的大型數(shù)據(jù)外泄事件，隨著黑客攻擊技能的泛化，攻擊工具的商品化，這一威脅將更會(huì)更加猖獗，并波及更多國家。其次，針對(duì)Android移動(dòng)設(shè)備的惡意軟件正在以驚人速度的不斷增長，2015年這一數(shù)字將再創(chuàng)新高，突破至800萬。此外，包括開放原始碼應(yīng)用程序漏洞、網(wǎng)絡(luò)銀行金融威脅及萬物聯(lián)網(wǎng)數(shù)據(jù)外泄等，都將成為2015新年度網(wǎng)絡(luò)安全博弈的焦點(diǎn)區(qū)。”

網(wǎng)絡(luò)威脅演進(jìn)的速度超乎想象，形態(tài)也更為多元。作為全球服務(wù)器安全、虛擬化及云計(jì)算安全領(lǐng)導(dǎo)廠商，趨勢(shì)科技不但通過已經(jīng)發(fā)現(xiàn)的大量實(shí)際案例和云端海量數(shù)據(jù)分析，更借以年度《預(yù)測(cè)報(bào)告》的形式，發(fā)出了2015年網(wǎng)絡(luò)安全領(lǐng)域即將出現(xiàn)的危險(xiǎn)信號(hào)。以下是趨勢(shì)科技對(duì)2015新安全威脅的八大預(yù)測(cè)：

【除了惡意軟件，黑暗網(wǎng)絡(luò)中還包含手槍、大麻商品，甚至是“買兇殺人”的服務(wù)】

美劇《紙牌屋》中提及的DeepWeb（深層網(wǎng)絡(luò)）、Darknet（黑暗網(wǎng)絡(luò)）是真實(shí)存在的。在這些搜索引擎無法找到的，或是需要加密客戶端才能訪問的站點(diǎn)上，網(wǎng)絡(luò)攻擊服務(wù)以及犯罪軟件的價(jià)格正在逐年下滑，出現(xiàn)這一現(xiàn)象的原因在于惡意軟件在地下市場(chǎng)供應(yīng)量的增加。

不僅美國失竊信用卡資料、Facebook和Gmail賬號(hào)密碼的價(jià)格大幅下跌，中國地下網(wǎng)絡(luò)市場(chǎng)上的犯罪工具和服務(wù)也非常“琳瑯滿目”，而且采用了“明碼標(biāo)價(jià)”、“打包優(yōu)惠”等促銷模式。

【截至2014年10月大型數(shù)據(jù)泄露事件的統(tǒng)計(jì)數(shù)字】

2014年的網(wǎng)絡(luò)犯罪攻擊愈演愈烈，美國 Target 超市7000萬筆客戶資料、美國 Home Depot 16 家飾建材連鎖賣場(chǎng)的6000萬筆客戶資料、eBay遭到神秘黑客的攻擊、iCloud泄露出大量好萊塢影星私密照片。

【入侵POS系統(tǒng),網(wǎng)絡(luò)及數(shù)據(jù)庫等重要主機(jī)】

通過攻擊頻率數(shù)據(jù)的發(fā)展態(tài)勢(shì)判斷，趨勢(shì)科技預(yù)計(jì)未來每個(gè)月都將見到兩起或更多起大型資料外泄事件，而這些事件背后，正是那些神秘而強(qiáng)大的黑客工具。例如：發(fā)展迅速的POS病毒家族，犯罪集團(tuán)所采用的惡意軟件可以輕松入侵那些安裝了POS軟件的商家計(jì)算機(jī)，從而截獲每筆付款的信息。這種惡意軟件被用來取代以前在“ATM上安裝攝像頭”等物理方式來進(jìn)行的數(shù)據(jù)竊取。

新型數(shù)據(jù)竊取惡意軟件將會(huì)出現(xiàn)，網(wǎng)上銀行惡意軟件將繼續(xù)發(fā)展，這讓移動(dòng)惡意軟件和高風(fēng)險(xiǎn)應(yīng)用程序的數(shù)量持續(xù)增長。趨勢(shì)科技預(yù)計(jì)2015 年 Android 威脅累積數(shù)量將達(dá)到目前的二倍，800萬將是人們不愿正視的數(shù)字紀(jì)錄。

【Android 威脅累積數(shù)量將達(dá)到800萬】

另外，移動(dòng)設(shè)備、平臺(tái)及 App 程序的漏洞數(shù)量將會(huì)增加，這將帶來更嚴(yán)重的網(wǎng)絡(luò)風(fēng)險(xiǎn)。未來，攻擊移動(dòng)設(shè)備的黑客將使用類似 Blackhole漏洞的攻擊套件，對(duì) Android 設(shè)備釋放出越來越多的網(wǎng)銀病毒及勒索病毒。趨勢(shì)科技還發(fā)現(xiàn)，不但第一個(gè)針對(duì)移動(dòng)設(shè)備勒索程序 REVETON 已經(jīng)現(xiàn)身，“OperationEmmental”(埃曼塔行動(dòng))全新網(wǎng)絡(luò)犯罪行動(dòng)背后的網(wǎng)絡(luò)犯罪集團(tuán)，他們不僅誘騙歐洲銀行的客戶安裝惡意的 Android App 程序來騙取其賬號(hào)密碼，其威脅也已經(jīng)蔓延到亞洲。

盡管2014年很多政府機(jī)構(gòu)和全球化企業(yè)在安全控管上都投入了巨大的人力和物力，但是APT攻擊仍然滲透進(jìn)這些組織，黑客將鎖定高度機(jī)密的政府?dāng)?shù)據(jù)、金融信息、數(shù)字資產(chǎn)、工業(yè)設(shè)計(jì)資料等等。今年，網(wǎng)絡(luò)犯罪集團(tuán)成功利用APT攻擊，在美國和加拿大制造多起大型數(shù)據(jù)外泄事件。趨勢(shì)科技威脅防御專家預(yù)測(cè)，在2015年，越南、英國和印度等國黑客也將跟進(jìn)，更多APT攻擊來源和目標(biāo)國家的名字，將會(huì)出現(xiàn)在2015年的盤點(diǎn)列表上。

另外，“電子郵件”成為了黑客最易取得APT攻擊成效的入口。在某些案例中，攻擊者會(huì)利用受害者的電子郵件賬號(hào)來增加他們魚叉式網(wǎng)絡(luò)釣魚攻擊郵件的可信度。而經(jīng)過足夠多的研究分析后，網(wǎng)絡(luò)犯罪份子可以制造出社交工程誘餌，騙取足夠多的員工點(diǎn)擊網(wǎng)絡(luò)鏈接或者打開郵件附件。

預(yù)計(jì)2017年全球移動(dòng)支付市場(chǎng)規(guī)模將高達(dá)900億美元，移動(dòng)支付服務(wù)這種新的支付形態(tài)很可能成為黑客攻擊的新目標(biāo)！當(dāng)下，國外移動(dòng)支付將因Apple Pay、Google Wallet催化而逐漸邁入主流，而國內(nèi)“雙11” 支付寶移動(dòng)支付交易筆數(shù)達(dá)到1.97億筆，同比增長336%。那么，移動(dòng)支付的新風(fēng)險(xiǎn)又在哪里呢？

趨勢(shì)科技認(rèn)為，隨著“心臟出血”、“Shellshock”等更多漏洞被發(fā)現(xiàn)，未來將可預(yù)見專門針對(duì)移動(dòng)支付平臺(tái)的威脅。例如Android 的 FakeID 漏洞可能引發(fā)的風(fēng)險(xiǎn)，這可以讓惡意應(yīng)用程序冒用合法程序、存取設(shè)備上的敏感數(shù)據(jù)、訪問NFC 安全芯片上的內(nèi)容。

所以，用戶需要在未來重點(diǎn)觀察和防止利用近場(chǎng)通信（NFC） 科技的犯罪行為，不要執(zhí)行破解程序、在不使用NFC功能時(shí)將其關(guān)閉、定期檢查軟件是否有更新，開啟屏幕密碼鎖并為移動(dòng)設(shè)備安裝防護(hù)程序。而在國內(nèi)，用戶更應(yīng)減少Apple 設(shè)備“越獄”，提高安卓第三方應(yīng)用商店的安全管理，因?yàn)檫@里都為移動(dòng)支付威脅提供了滋生的沃土。

由于微軟 Windows和其他知名操作系統(tǒng)在安全方面的改進(jìn)，將使得漏洞逐漸減少。所以，黑客將被迫轉(zhuǎn)移目標(biāo)到開源系統(tǒng)平臺(tái)及應(yīng)用程序的漏洞。一些存在多年的開放原始代碼程序漏洞，今年都遭到了大量的攻擊并造成了嚴(yán)重的災(zāi)情。這包OpenSSL 軟件的 Heartbleed和命令行接口程序 Bash 中的 Shellshock 漏洞。

【黑客利用Shellshock漏洞可以盜取數(shù)據(jù)并發(fā)起大規(guī)模攻擊】

未來幾年之內(nèi)，黑客仍將繼續(xù)挖掘一些像Heartbleed 和 Shellshock 這類潛藏已久的漏洞，這些可能比25年前就存在的漏洞更古老，但卻對(duì)Android等其他終端系統(tǒng)造成了更大的風(fēng)險(xiǎn)。這些漏洞可以入侵Linux桌面終端和服務(wù)器，控制Android系統(tǒng)及APP連接的內(nèi)容，盜取數(shù)據(jù)或利用這些移動(dòng)設(shè)備發(fā)動(dòng)分布式拒絕服務(wù)（DDoS）等攻擊。

IoE、IoT是近年最盛行的科技流行語，不僅手機(jī)、電腦、電視機(jī)等傳統(tǒng)信息設(shè)備將連入網(wǎng)絡(luò)，日常生活物品都將實(shí)現(xiàn)數(shù)字化、網(wǎng)絡(luò)化、智能化。任何新科技產(chǎn)品在設(shè)計(jì)時(shí)都會(huì)考慮到網(wǎng)絡(luò)的連接性，這可能包括：汽車、智能型烤面包機(jī)、計(jì)步器、嬰兒監(jiān)視器和電器設(shè)備。
設(shè)備的網(wǎng)絡(luò)連接和運(yùn)算能力，讓它們變的“更聰明”，但也會(huì)帶來安全風(fēng)險(xiǎn)。IoE、IoT設(shè)備對(duì)黑客來說，充滿了無限的可能性，黑客會(huì)想盡辦法找到可攻擊的目標(biāo)。借助設(shè)備中所處理能力與儲(chǔ)存的數(shù)據(jù)，他們可以執(zhí)行更復(fù)雜、更嚴(yán)重的破壞任務(wù)，例如非法控制電燈、門窗等設(shè)備，甚至破壞一個(gè)國家的基礎(chǔ)民生設(shè)施，威脅人身安全。

網(wǎng)絡(luò)銀行惡意軟件數(shù)量在 2014 上半年持續(xù)穩(wěn)定增加，趨勢(shì)科技監(jiān)測(cè)結(jié)果顯示，截至到第三季度，這些惡意程序的數(shù)量已經(jīng)達(dá)到了13.7萬個(gè)。Emmental 行動(dòng)這樣的復(fù)雜攻擊手法，證明了即使是銀行的雙重認(rèn)證機(jī)制也可能出現(xiàn)漏洞，而未來幾年之內(nèi)，跨平臺(tái)的網(wǎng)銀攻擊會(huì)更加頻繁。

網(wǎng)絡(luò)是一個(gè)自由的空間，它給每個(gè)人自由選擇的權(quán)利，但現(xiàn)在這個(gè)環(huán)境越來越難惡劣。對(duì)此，童寧表示：“如果隱藏的威脅已經(jīng)浮上臺(tái)面，僅僅做到關(guān)注是不夠的，在這場(chǎng)黑與白的較量中獲勝，需要主動(dòng)的行動(dòng)和全球用戶的合力。當(dāng)眾多廠商在市場(chǎng)競(jìng)爭壓力下，不斷推出更多缺乏安全機(jī)制的設(shè)備以滿足日漸擴(kuò)大的市場(chǎng)需求時(shí)，黑客也將發(fā)現(xiàn)更多可利用的漏洞，智能型設(shè)備制造商必須考慮如何協(xié)助用戶保護(hù)這些設(shè)備當(dāng)中的數(shù)據(jù)，而非僅是保護(hù)設(shè)備本身。”