真實不改編故事：對不起，駭到你！
我的密碼被外洩了。對方用一封很嚇人Email想要騙你的錢。2018/12/8 號講完第一天 Docker on Windows 課後，在休息時才看到一封 2018/12/7 全英文的 Email，通常這種不認識 Email 都是直接刪除，但他很聰明的在標題的地方就放上你的密碼，而且是完全正確的明碼密碼。
文如下：
bruce.mvp - <你的密碼>
I know <你的密碼> is your passphrases. Lets get right to the purpose. No person has compensated me to check you. You may not know me and you're most likely wondering why you are getting this e mail?
Well, i installed a software on the X videos (sex sites) web-site and do you know what, you visited this web site to have fun (you know what i mean). While you were viewing video clips, your browser began operating as a RDP with a keylogger which gave me access to your display screen and web cam. Just after that, my software collected your entire contacts from your Messenger, social networks, and e-mailaccount. and then i created a video. First part displays the video you were watching (you have a good taste haha . . .), and 2nd part displays the view of your webcam, yea it is u.
You do have only 2 solutions. Shall we study each one of these options in details:
First alternative is to just ignore this email. in this instance, i most certainly will send out your actual videotape to just about all of your contacts and also just consider concerning the awkwardness you will definitely get. Not to mention in case you are in a romantic relationship, just how this will affect?
other alternative will be to pay me USD 1630. i will think of it as a donation. in this situation, i most certainly will straightaway eliminate your video footage. You could keep going on everyday life like this never occurred and you surely will never hear back again from me.
You'll make the payment via Bitcoin (if you don't know this, search 'how to buy bitcoin' in Google).
BTC address: 1JNpRrpqxC7Lmw7mrCDgnVxNs8TPKyFia5
[CaSe SeNSiTiVe copy & paste it]
if you have been looking at going to the cop, very well, this email cannot be traced back to me. I have dealt with my steps. i am not looking to ask you for a whole lot, i only want to be rewarded. i've a special pixel within this e mail, and now i know that you have read this email. You have one day to pay. if i don't receive the BitCoins, i will definitely send your video recording to all of your contacts including friends and family, co-workers, and so forth. However, if i do get paid, i'll destroy the recording immediately. if you want to have proof, reply Yea! & i definitely will send out your video to your 14 friends. This is the non-negotiable offer and so do not waste my personal time and yours by responding to this email.
簡單來說，信裡含有你的正確的密碼，然後會跟你說，你看了某成人網站後，就開始被他們安裝側錄軟體，他們控制了你的電腦和鏡頭，然後你看過"A"之後做的事全部被錄起來。如果你不想曝光，請買比特幣付款了事，不然就把影片公開。請在一天內處理此事。
認真看完這封信，當下心理覺得害怕，天呀，有人要我當男主角！小生怕怕！
我自己有個密碼編碼原則，每個網站密碼都不會重覆，也就是我沒有共用密碼的習慣，他給的密碼與寄來的通知信箱都是對的，這是我怕的地方，但我就是想不起是那個網站。查書籤與回想一晚，終於找到了。是 iThome！
首先，我在 iThome 使用重設密碼填入圖中的信箱，確認也是寄到同一個信箱，當然，我沒有重設，然後輸入駭客給的密碼，就登入了。那個帳號我註冊之後根本沒在使用。要不是此信，我還完全忘記我在 iThome 有註冊此帳號。也就是說，他根本不可能錄到我的密碼，除了剛剛驗證帳號時真的打了一次之外，我根本沒使用此帳號密碼登入過 iThome。密碼、信箱、與我的編碼規則都指向 iThome，強烈懷疑他們資料已外洩。
在 FB 的朋友提醒，iThome 在 2013 年確實有此前科，也感謝 fb 朋友的 Tag， iThome 網站系統的主管也有出來留言說明，並得到另一篇類似報導的連結。
駭客得到明碼密碼是事實，我的編碼原則與驗證也確認是 iThome 帳密。反正此帳號都沒在用，快速利用他們刪除帳號的功能，跟此風險說 bye bye 比較實在。
Email 另有技巧
在撰寫此文時，無意發現駭客的一個 Email 技巧。
Email 的通知裡有寫，你不用反追蹤他，它不會讓你追到他。這個寄件者如果是假的，我相信，以現在過濾 Email 的技術，不可能放它進來我的信箱，但免費的 outlook 要申請太容易，我在寄件者這方面也就沒想那麼多。但就在寫文複製、貼上時一直覺得奇怪，為什麼我的 Markdown Monster 的排版一直很怪：
它的英文單字中插入大量的特別符號，在一般編輯器、Word 與 Markdown 預覽器中都不會被呈現出來。相信駭客本身也是做了相當測試功課，知道某些關鍵字會被擋下，被擋下他就嚇不你，也就少了一個受害者的機會。也就是，它利用此符號斷開英文單字，就算是含色情網站的單字，也能平安的不被關鍵字掃出來。
至於，他說他知道你有沒有開信這件事。剛好在前公司做過 EDM，知道一些些 Email 確認是否讀取的技巧，在純文字的信件中，我認為可能性太低，他單純只是在你害怕時唬爛你。
保護之道
- 筆電鏡頭或外接鏡頭，沒用就貼起來吧。他寫的故事並不是不可能發生。
- 不要共用密碼。
- X 網不要上，如果真的中獎，就認命當個男演員就好，反正已白白看了那麼多，就當公德來回饋，千萬不要去付款，沒有利潤就沒有傷害！
最後分享我的編碼原則其中一條，假設我的密碼是 1aa2BB#cc 已經含小寫、大寫與符號的複雜密碼，我習慣在特定位置加上可明確辨識此網站縮寫，例如，facebook 就加 fb，google 就加 go，這就是為什麼我能確定那駭客給的那組密碼是 iThome 用的，因為那組密碼裡含網站身份在其中。也可以說，我就是為了知道密碼是從那裡流出去而加上此規則。
對不起，網路就是那麼不安全。
沒有留言:
張貼留言
感謝您的留言，如果我的文章你喜歡或對你有幫助，按個「讚」或「分享」它，我會很高興的。