Loving You

專家警告，有假檔案搭著警方筆錄外洩新聞事件順風車，利用FOXY散佈，建議使用者仍應小心。

上週爆發警察機關因員警違規使用P2P分享軟體FOXY，而導致內部筆錄外洩的新聞事件，資安專家一度建議使用者在真相未明前先刪除該軟體。而刑事局則發 現，有部份以「刑案筆錄」等文字為檔名的假檔案，在新聞熱潮下透過FOXY傳散，實際內容則為援交訊息、護膚按摩廣告甚至內含惡意程式，警方呼籲使用者不 要因好奇下載來路不明的檔案。

「這種手法相當常見，」CA（組合國際）技術顧問林宏嘉指出，檔名與實際內容不符的假檔案，在P2P軟體上相當常見，也是駭客散佈惡意程式的途徑之一，他表示，類似的社交工程手法本身雖不算新，但常會利用熱門新聞事件的話題性，引誘使用者下載、點選，導致木馬上身。

而值得注意的是，此次引起話題的FOXY軟體，用戶竟以上班族且在上班時間使用占最大宗。據林宏嘉觀察，上班時間是FOXY使用高峰，他認為這代表企業對於P2P軟體管理不週，以及對員工私自安裝軟體等行為的忽略。

然而P2P軟體眾多，卻以FOXY資料外洩最嚴重，刑事局科技犯罪防制中心主任李相臣分析道，FOXY由於採中文化介面且使用方法簡單，故在國內相當普 及，但該軟體在分享資料夾的設定上容易讓消費者誤設為全機分享，「且該軟體本身容易被植入木馬，所以資料外洩情況最嚴重，」他表示。

「軟體研發商必須為產品負責，」林宏嘉表示，在網路威脅日增的情況下，若軟體業者推出的產品本身有漏洞，或是容易被人改寫，開發廠商必須設法補救，避免使用者間接受害。

不過，軟體開發商未必會有正面回應。刑事局表示，為要求廠商加強軟體本身安全性，以及要求協助控制機密資料外流，曾與FOXY之營運公司景昌資訊聯繫，但 該公司回應在台灣僅負責代理廣告業務，產品研發與技術則是由在美國的另家公司負責，李相臣說，雖然獲得該美國公司初步善意回應，但由於不具管轄權，也不可 能積極介入。

李相臣表示已建議FOXY加強安全性，並更改目前設定分享資料夾的方式，避免使用者輕易將整台電腦的檔案都分享出去，但他坦言刑事局的立場僅能給予建議，至於FOXY會不會接受，「決定權在這間美國公司，」他說。

網路犯罪多跨國 破案不易

李相臣的無奈，反映出網路犯罪的跨國性導致的破案困難。

警方偵辦不易跨越國界，駭客顯然也知之甚詳。舉例來說，賽門鐵克日前公佈的報告中便提及，台北是亞太地區最多釣魚網站所在的城市，不過該公司技術總監王岳忠當時解釋，這些釣魚網站雖設在台北，但針對的卻是以歐美地區使用者為主。

而日前引發軒然大波、駭客利用關鍵字廣告誘導國內使用者連上釣魚網頁的事件，警方調查後也發現網站位置多位於中國大陸。

「身為警方，面對此種情況其實相當無奈，」李相臣解釋，許多網路犯罪並非查不出罪證，而是受限於國界問題而無法破案。他以FOXY事件解釋道，雖然該公司並非罪犯，但警方在要求配合上就欠缺著力點，在面對真正的跨國犯罪處理自然更加棘手。

而破案不易，也可能導致受害者不願報案，產生犯罪黑數，李相臣說。

他引述統計資料指出，前(2005)年與去(2006)年網路犯罪報案件數大約都在兩萬件左右，他表示，報案人數不變不代表網路犯罪不嚴重，有些受害者可能因為覺得破案困難，乾脆就不報案，導致報案數字無法反映真實狀況，「黑數我們估計至少兩倍，」他說。

但他強調，過去兩年網路犯罪破案件數其實有顯著成長，由六千件提升到一萬件，他鼓勵受害者仍應報案交由警方處理。