你不知道你是帮凶

实况报道

在许多人的观念里，网络安全是企业的责任，只要企业做好防御措施，避免顾客资料或公司机密被盗并确保公司网站正常操作就行了。

可事实上，一般消费者随时可能在不知情的情况下成为网络攻击的帮凶。

网络专家认为，网络安全须有“全面防卫”策略，用户应提高网络安全意识，做好防范。

你是否在家里安装网络摄像头用来观察家中孩子？你在家里上网时，是否使用无线网络？这些看似毫无“杀伤力”的互联网设备，在上个月两度被用来攻击星和公司的网站域名系统（Domain Name Services，简称DNS）。

事发时，星和提高网站域名系统容量以处理如排山倒海而来的数据，公司系统人员彻夜检查数据记录，发现数据来自公司互联网用户的家用互联网设备。这些设备受黑客操控，把数据导向星和的系统，展开分布式阻断服务攻击（Distributed Denial of Service，简称DDoS）。

网站域名系统在网络世界中扮演“翻译”的角色，用户在浏览器输入以英文字母书写的网址，系统把网址翻译成由数字组成的互联网协议（Internet Protocol，简称IP）地址，再搜寻并连接上IP地址就能打开网站。

在星和遭攻击的数小时内，系统突然接到大量打开网页的要求和各种垃圾数据，数据传输通道受阻，以致“网页无法打开”的情况频频出现。

在这起事件中，用户既是受害者，也是“始作俑者”。

用户成为网安软肋

星和技术总裁莫柏林上月在记者会上说，攻击系统的数据来自用户家里的互联网设备，如摄像头、无线网络路由器（Router）和电脑。有心人要控制这些设备不难，只要掌握设备密码即可。

举例来说，路由器有两道密码，一道是无线网络（WiFi）密码，在电脑或手机输入密码就能上网，另一道是能设置路由器功能的行政密码。

这些由厂商设置的默认密码（default pin）大多相同，往往是“admin”和“root”，有些设备干脆把密码标签贴在底部，这些密码也能在网上搜寻到。

多数人会更换WiFi密码，但往往忽略了行政密码。有些是为了方便记忆而不更换密码，有的根本不知道这道密码的存在，歹徒就能以默认密码轻易控制设备。

在这场对抗网络威胁的“战争”中，各大企业都筑起防御壁垒，但黑客却发现了消费者这最弱的一环，通过消费者对大企业展开攻击。

网络安全公司CyberArk亚太技术总监霍超文受访时指出，网络安全是每个人的责任，但多数消费者没受到网络攻击而蒙受严重损失，因此也就没采取防范措施的紧迫感。他建议通过公共教育和宣传，教导人们选择安全性更强的设备。

他也认为，制造商也须负一部分责任。“厂商必须确保设备能轻易设置安全措施，尤其是当互联网逐渐融入我们的生活。”

安全软件公司赛门铁克安全顾问尼克（Nick Savvides）也有同感。

他说：“消费者和制造商清楚电脑安全的重要性，但对于连接互联网的设备如路由器，却缺乏这方面的意识。这些设备就如当年电脑进入市场初期，没有划一的操作标准、商家对网络安全的了解不足，设备缺乏安全功能。”

他还说，电子科技不断推陈出新，黑客将针对下一个多人使用的设备下手，消费者在这方面的意识必须提高。

网安局：网安宣传将扩大至各阶层

政府数年来不断向企业宣传网络安全的重要性，接下来会进一步把宣传范围扩大到各阶层。网络安全局将在明年初展开网络安全宣传活动（Cybersecurity Awareness Campaign），目的是让公众了解网络安全的重要性，同时也教导人们改善使用互联网的习惯。

通过路由器发动袭击　黑客轻而易举

网络安全专家指出，互联网服务商为用户免费提供的同款无线网络路由器，让黑客更容易展开大规模的袭击。

用户签订宽带网配套时，服务商都会免费提供无线网络路由器，不同的价值配套，其路由器的型号和性能也有所不同。这些路由器都由著名品牌生产，但不论是哪种型号，一般都选用常见的默认密码（default pin），这可能成为黑客下手的弱点。

举例来说，服务商送出一万台同款路由器，而这些路由器的默认行政密码都一样。如果有一半的用户没有更换密码，黑客就能凭着公开的默认密码一次过掌控5000台路由器。

黑客利用路由器对服务商发动集体攻击

网络安全公司绿盟科技（NSFOCUS）网络安全管理部总监盖伊（Guy Rosefelt）说：“多数袭击者知道某些地区的路由器来自哪几家服务商，也知道默认密码是什么。他们扫描互联网上的IP地址，寻找使用默认密码的路由器。”

此外，路由器的操作固件（firmware）可能会缺乏安全补丁。

安全软件公司赛门铁克安全顾问尼克说：“免费提供的路由器一般会安装特别订制的固件，固件因为甚少有更新版本，而可能比制造商其他路由器的固件还要落后。”

更严重的是，由于这些用户都属于同一家服务商，黑客就能轻易利用这批路由器对服务商发动集体式攻击。

一般上，网络安全系统在突然接到大量数据时会寻找这些数据的源头并加以堵截，关注点通常放在可疑的IP地址上，甚少会对内部设备或自家顾客诸多防范。

而对于一家互联网服务供应商来说，用户的家用设备并非可疑来源，黑客相信是抓准了这一点才袭击成功。

资讯通信专才协会（Association of Information Security Professionals，简称AISP）主席黄开庄说，比起来自外部的攻击，这类内部袭击较难探测出来，尤其是当来源和传输模式看起来都是合理的。

电信公司：更换路由器默认密码是关键

免费提供同款路由器是业界惯用行销手法，但本地三大电信公司似乎没有取消这一做法的打算。

第一通受询时表示，用户有多种连接互联网的设备如路由器和网络摄像头，这些设备的来源各不相同，但都有厂商预设的密码。公司促请用户更换密码，并定期检查安全设置，以防遭人盗用。

新电信发言人则说，公司提供的路由器都符合最高安全标准。新电信也定期为路由器更新固件以修补安全漏洞，但用户仍应为其他设备如桌面电脑和手提电脑做好预防措施。

星和也强调，用户更换路由器的默认密码，才是预防黑客入侵的关键。

隐私变公开　摄像头存在风险

用来保障家人安全的家用网络摄像头，若没有妥善的安全设置，不仅家人隐私会泄露出去，还随时可能成为网络罪犯入侵住家无线网络的大门。

廉价网络摄像头在设计时缺乏保安功能，容易受到恶意软件入侵，许多用户也疏于更换摄像头的默认密码。没有做好防范措施的结果就是，摄像头拍摄到的住家画面可能被传上网，公开让他人观看。

insecam.org网站就是其中一个转播各种公司闭路电视和家用摄像头画面的网站。如果外人从画面中认出这些商店、工业大楼和办公室，就可轻易掌握里面的保安情况。

记者还发现网站上有好几个组屋走廊和住家客厅的画面，虽然无法从画面知道这些住宅单位的具体地址，但用户的屋内情况和隐私其实已泄露。

资讯通信专才协会主席黄开庄指出，失去隐私的问题不大，较严重的是黑客可从网络摄像头入侵家里的无线网络。

“黑客会记录你所有通过无线网络的活动，若你用无线网络把手机内的照片发送到打印机或电脑，黑客甚至可以截取这些照片。他们也会知道你上过哪些网站，从事何种网络活动。”

值得庆幸的是，黑客只能看到用户到访的网址，看不到用户在网站上输入的内容。

黄开庄说，要保护家用无线网络，关键在于无线网络路由器，只要做足路由器的安全措施，就能防止黑客入侵。公众可使用网上的免费扫描软件，寻找家里存有安全漏洞的设备，设好防线。

家里装有四台摄像头的何川（34岁，房屋经纪）为每台连接互联网的设备设置密码，但没有定期更换密码。“如果经常更换密码，我担心会混乱。我现在使用的是结合数字和字母的密码，安全性较高，应该不会有问题。”

Source: 联合早报 © Singapore Press Holdings Limited. Reproduced with permission.