2019年需要认真对待的七种移动安全威胁

根据谷歌、纽约大学和加州大学圣地亚哥分校进行的一项研究显示，即使只是设备上的身份验证也可以防止 99% 的大规模网络钓鱼攻击和 90% 的针对性攻击，相比之下，更易受网络钓鱼攻击影响的 2FA 代码对于相同类型攻击的有效防御率分别为 96% 和 76%。

三、无线 (Wi-Fi) 干扰

移动设备的安全性取决于它传输数据的网络。在这个我们都在不断连接公共 Wi-Fi 网络的时代，这就意味着我们的信息通常不像我们想象的那么安全。

这个问题究竟有多重要?根据 Wandera 公司进行的一项研究显示，企业移动设备使用 Wi-Fi 几乎是使用蜂窝数据的三倍。近四分之一的设备可能连接到开放且不安全的 Wi-Fi 网络，并且有 4% 的设备在最近一个月内遭遇了中间人攻击 (MitM)——即有人恶意拦截双方之间的通信。与此同时，McAfee 表示，网络欺骗最近 “急剧增加”，然而，只有不到一半的人愿意在旅行和依赖公共网络时努力保护他们的连接安全。

专注研究智能手机安全问题的 Syracuse 大学计算机科学教授 Kevin Du 表示：现在，加密流量并不困难。如果你没有 VPN，就等于你在自己周边敞开了很多攻击入口。

但是，选择正确的企业级 VPN 并不容易。和大多数与安全相关的考虑因素一样，这个问题也是需要权衡的。Gartner 的 Zumerle 指出，移动设备的 VPN 交付需要更加智能，因为最大限度地减少资源消耗(主要是电池)是至关重要的。一个有效的 VPN 应该知道只有在绝对必要时才能激活，而不是当用户访问类似新闻网站或在已知安全的应用程序中工作时就随便激活。

四、过时的设备

智能手机、平板电脑和更小的联网设备(通常被称为物联网/IoT)对企业安全构成了新的风险，因为与传统的工作设备不同，它们通常不能保证及时和持续的软件更新。对于 Android 系统而言尤为如此，绝大多数制造商在保持其产品更新方面都表现得 “心有余而力不足”——无论是操作系统 (OS) 更新还是月度安全补丁发布——甚至在大多数物联网设备中根本就没有内置补丁机制，而如今这些因素正成为越来越大的威胁。

Ponemon 认为，撇开攻击可能性增加不提，移动平台的广泛使用提高了数据泄露的总体成本，而大量与工作相关的物联网产品只会导致这一数字进一步攀升。根据网络安全公司 Raytheon 的说法，物联网是一扇 “敞开的大门”。该公司赞助的一项研究显示，82% 的 IT专业人士预测，不安全的物联网设备将会导致企业内部的数据泄露——而且这种数据泄露规模和影响很可能是 “灾难级的”。

同样，一项强有力的政策还有很长的路要走。有些Android设备确实可以及时获得可靠的持续性更新。在物联网领域变得不那么像 “蛮荒西部” 之前，必须由一家公司围绕它们建立自己的安全网络。

五、加密劫持(Cryptojacking)攻击

作为相关移动威胁列表的一个相对较新的补充，Cryptojacking=Cryptocurrency(加密货币)+ Hijacking(劫持)，它的字面意义是 “劫持加密数字货币”，实际意义则是劫持用户的计算机设备，并利用其 CPU 或其他处理器来挖掘虚拟加密货币，因而叫做 “加密劫持”。这是一种近乎隐身的技术，企业通常很难察觉，其造成的损害不言而喻。如果加密货币挖掘的恶意软件感染了云基础设施或电费账单，则可能会立即产生财务影响。它还可能通过减慢机器速度，来损害设备的生产效率和性能，而后者的损害结果显然不如前者易于察觉。

虽然 “加密劫持” 起源于桌面，但从 2017 年末到 2018 年初，它在移动端出现了激增的趋势。根据 Skybox Security 一份分析报告显示，2018 年上半年，不受欢迎的加密货币挖掘占所有攻击的三分之一，与前半年相比，这段时间显著增加了 70%。此外，根据 Wandera 的一份报告显示，2017 年 10 月至 11 月期间，针对移动设备的加密劫持攻击爆发了，受影响的移动设备数量激增了 287%。

自那以后，情况已经有所缓解，特别是在移动领域。这一结果主要得益于苹果 iOS 应用商店和 Android 相关的谷歌 Play 商店分别在 6 月和 7 月禁止使用加密货币挖掘应用的举措。尽管如此，该安全公司还是注意到，攻击可以继续通过移动网站(甚至只是移动网站上的流氓广告)以及从非官方第三方市场下载的应用程序获得一定程度的成功。

分析人士还指出了通过互联网连接的机顶盒(一些企业可能会使用机顶盒进行流媒体和视频投射)进行加密劫持的可能性。根据安全公司 Rapid7 的说法，黑客已经找到了一种方法来利用一个明显的漏洞，该漏洞使 Android Debug Bridge(一种仅供开发人员使用的命令行工具)变得容易访问，而且滥用这类产品的时机已经成熟。

目前，对于这种威胁形式并没有什么好的答案，除了仔细选择设备并坚持要求用户仅从平台的官方店面下载应用程序，如此可能会显著降低加密劫持的可能性。而且实际上，目前没有迹象表明大多数公司受到任何重大或直接的威胁，特别是考虑到整个行业都在采取预防措施。尽管如此，考虑到过去几个月该领域的活动起伏不定，而且攻击者对该领域的兴趣不断上升，2019 年的进展情况仍然是一件值得关注的事情。

六、薄弱的密码卫生情况

你可能认为我们现在已经过了这一阶段，但不知何故，用户仍然没有正确地保护他们的帐户——当他们携带的手机同时包含公司帐户和个人登录时，这可能会出现问题。

根据谷歌和哈里斯民意调查 (Harris Poll) 的一项新研究发现，调查样本显示，超过一半的美国人在多个账户上使用相同的密码。同样令人担忧的是，近三分之一的人没有使用双因素身份验证(或者甚至不知道他们是否在使用它，这可能会更糟糕)。而且只有四分之一的人在积极地使用密码管理器，这表明绝大多数人可能在大多数地方都没有设置特别强的密码，因为他们可能需要自己生成和记忆密码，而太过复杂、强大的密码显然并不利于记忆。

情况只会变得越来越糟：根据 2018 年的 LastPass 分析显示，有整整一半的专业人士在工作和个人账户上使用相同的密码。分析还发现，更糟糕的是，一个普通员工在工作过程中会与同事分享大约六个密码。

（编辑：核心网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!