160亿笔帐密外泄？专家：应强化资安防护

文＼蔡宗桓 近日，全球网络安全界掀起震撼波澜——网络安全研究团队Cybernews揭露一宗号称史上最大规模的资料外泄事件，涉及高达160亿笔帐号与密码资讯，涵盖Facebook、Google、Apple等众多平台。尽管部分媒体质疑数据真实性与独立性，但这波资料外泄仍凸显资安威胁日益严峻，提醒大众与企业切勿掉以轻心，应立即强化防护措施，以免成为下一个受害者。 网络安全研究团队Cybernews日前揭露一宗前所未见的大规模资料外泄事件，涉及超过160亿笔登入帐号与密码。这批外泄资料涵盖众多知名平台，包括Telegram、Apple、Facebook、Google，甚至连部分政府机关资料亦牵涉其中，事件引发全球资安界高度关注，民众担心这将成为不法分子发动网络犯罪活动的温床。 Cybernews专家自年初起持续监控网络安全情势，期间陆续发现30个规模庞大的资料集，每一份皆包含数千万，甚至多达35亿笔纪录。 这些外泄资料集数量惊人，甚至被称为“有史以来最大规模的资料外泄事件之一”，而其衍生的影响与潜在风险更是难以估量。 在这些外泄资料中，数量最庞大的一份与某葡语系社交平台有关，纪录多达35亿笔；而名为“Telegram”的资料集亦包含超过6000万笔帐密资讯。 此外，部分资料档案以“logins”、“credentials”等通用名称命名，来源不明，进一步增加追踪与防范的难度。 根据分析，大多数资料来自资讯窃取型恶意软体（Infostealer）攻击，部分则是过往外泄资料的“重新包装版本”。值得警惕的是，曾有部分资料在未加密的Elasticsearch或云端储存平台上公开曝光，虽然目前相关平台已被关闭，但研究人员已成功撷取与分析该些资料。 Cybernews警告，大众与企业应对此事件保持高度警觉。这些外泄资料极可能被不法分子用来发动一系列恶意行动，包括帐号盗用与身份窃盗、量身订做的网络钓鱼攻击、企业邮件诈骗（BEC）及勒索病毒攻击。 特别在旅游旺季，已有报告指出如Airbnb等平台正面临愈发猖獗的钓鱼攻击，而许多企业忽略了“机器身份管理”的重要性，更让资料外泄风险进一步升高，呼吁个人用户及企业立即检视自身网络安全防护措施。 大规模帐密外泄事件被夸大？ Cybernews日前揭露一宗前所未见的大规模资料外泄事件后，一些媒体便质疑Cybernews只是“标题党”，并认为实际并未发生单一的全新资安泄漏事件。在这当中，BleepingComputer和ZDNet两大资深资安网媒便发文指责Cybernews的发现并非新的数据泄漏事件，而是先前泄漏凭证、资讯窃取恶意软体窃取的数据，以及凭证填充攻击的汇编。 简单来说，Cybernews就是把多个不相关的数据库混合计算，夸大整体规模，所谓的160亿笔网络帐户密码之中，可能有大量重复、过时或重新包装的资料。 AP News联合通讯社用词比较中性，但也有提到Cybernews已承认数据内容“绝对有重覆，所以未能确认受影响用户的确实数量。” 不过，既然有如此大量的资安外泄数据被Cybernews研究员揭发，那就代表其他骇客、有心人士也有机会获得这些外泄数据并展开攻击，所以，各界应及时加强网络安全意识，包括启用双重认证、使用密码管理器来生成和储存复杂密码，并定期检查帐户活动记录。 【资安防护提醒】 密码安全4大守则 1. 使用高强度密码：结合大小写英文字母、数字与特殊符号，提高破解门槛。 2. 避免使用个资：密码中勿包含姓名、生日、电话等可识别资讯。 3. 定期更换密码：建议每3至6个月更新一次密码。 4. 善用密码管理工具：使用可信赖的密码管理器建立并储存复杂密码，避免密码重复使用。 瘫者脑植晶片靠意志操控游戏 马斯克：下一步令失明者重见光明 美国科技公司Neuralink在脑机介面领域再创新里程，一名已瘫痪的患者在接受大脑植入晶片手术后短短一周内，竟能通过纯粹意志操作复杂角色扮演游戏《神谕：原罪2》，显示这项技术已进一步实现与人脑无缝互动。 创办人马斯克（Elon Musk）更透露，下一步将挑战恢复失明者视力，为神经医疗技术开拓崭新可能。 接受手术的患者Rob Greiner在日前通露网络发文说，他在完成由Neuralink团队进行的大脑植入晶片程序后，身体状况迅速改善。 这名因车祸导致四肢瘫痪的用户，仅花数天时间便能利用脑部讯号来操作高要求游戏《神谕：原罪2》，此游戏需玩家频繁策略思考与即时输入指令。 他形容，这项经历“令人难以置信”。 Neuralink早已聚焦开发脑机介面多时，以便用作处理难以根治的神经系统疾病。 马斯克日前确认，该公司设备现已进入临床试验阶段，以针对瘫痪、忧郁症、失眠等病症进行多项医疗测试。此番Rob Greiner的例子更成为实证之一，证明大脑与电脑之间可以建立更细致稳定的沟通桥梁。 接着，马斯克披露未来研发方向时也称，该团队已在猴子实验中成功实施“视觉植入”技术，预计下一步会安排首宗人类手术，目标是让完全失明人士重见光明。 他强调，这并非单纯涉及修复视网膜，而是将利用晶片重建失明者与大脑视觉中枢的资讯连结，彻底改写现行医疗对失明的处理方式。 Neuralink成立以来一直以突破性的技术理念引发注目，此次Rob Greiner的案例不仅显示该公司的技术发展已具实质成果，亦让外界看见脑机技术未来潜在应用空间，包括医疗复健、辅助科技，甚至游戏及学习等民生范畴。 AI 医疗诊断仍有缺陷 LLM问诊准确率仅34.5% 大型语言模型（LLM）近年在医学考试中的亮眼表现备受关注。 2023年，GPT-4已能正确回答美国医师执照考题达90%，甚至超越住院医生与执业医生。然而，牛津大学最新研究显示，LLM在实际应用中的表现远逊于考试成绩。 研究指出，LLM若直接处理测试场景，正确辨识病症的准确率高达94.9%，但若由人类操作LLM诊断相同情境时，准确率却低于34.5%。更意外的是，使用LLM的患者群体表现反而比未使用者更差，后者仅以“日常自我诊断方式”为参照。 这项研究是由Adam Mahdi博士领导，他招募了1298名参与者模拟患者，以便与LLM互动，而每名参与者皆获得详尽病历资料，即从普通感冒到肺炎不等，但不提供正确答案。例如，一名20岁工程系学生突发剧烈头痛，重要资讯包括低头时疼痛，但也混杂如考试压力、酗酒等误导线索。 该研究共测试3种LLM，即普及性选GPT-4o、开放权重的Llama 3，以及具RAG能力的Command R+。参与者须至少与模型互动一次，以取得自我诊断与行动建议。 瘫者与LLM互动的参与者诊断一致性低于对照组。最多仅34.5%能辨识至少一项相关病症，对照组则为47%。选对行动方案的比例也仅44.2%，远低于LLM独立作答的56.3%。 该项研究也发现，参与者常遗漏关键资讯，且难以清晰表达症状，以致LLM误判，例如一名胆结石患者仅描述自己“严重胃痛伴随呕吐，怀疑与外卖有关”，但却未提及疼痛部位与发作频率，导致Command R将之误诊为消化不良。 即使LLM正确提出病名，参与者也未必采信。 GPT-4o在65.7%对话中曾提及正确病症，但最终仅少于34.5%参与者纳入考量。 北卡罗莱纳大学RENCI的用户体验专家Nathalie Volkheimer指出，这项研究结果并不令人意外。 她比喻说，这有如早期搜寻引擎时代，用户要有适当的提问能力，LLM才能输出有价值的答案。而在模拟情境中，即使不是实际病患，参与者在压力下也难以表达完整资讯。 因此，她强调：“问题不在机器，而在人机互动。” 此外，研究团队为了进一步测试LLM而扮演模拟病人，并使用自然语言与LLM互动，结果LLM辨识病症的准确率达60.7%，远高于人类操作的34.5%。这显示LLM彼此互相沟通比与人类沟通更有效，同时也反映非互动式测试未能预测真实应用表现。 此外，该项研究也提出惊示说， 若LLM的目的是与人类互动，且仅凭静态准确率测试，那就容易造成过度自信。而企业部在部份署AI系统前，必须理解目标受众与实际互动流程。 随着AI逐步进入医疗与其他领域，这项研究提醒我们，技术表现只是成功的一部分，良好的人机互动设计才是关键。唯有真正理解用户行为，才能让AI在现实中发挥效能。 Passkey密码金钥技术 让登入FB更安全轻松 随着各大平台陆续导入Passkey密码金钥技术，Meta终于也跟进宣布Facebook与Messenger推出更安全便利的无密码登入方式，初期支援iOS与Android装置。 Passkey是由FIDO联盟推动的无密码认证标准， 用户可通过装置的脸部辨识、指纹扫描或PIN码进行身份验证。 相比传统使用帐密，这不仅更为方便，同时也大幅降低钓鱼、资料外泄或重复使用的风险。 Meta说明，这组一次设定的Passkey可同时用于Facebook与Messenger，未来几个月Messenger也将全面支援。对习惯使用Face ID、Touch ID或Android生物辨识的用户来说，登入几乎无需学习成本，只需装置验证一次，便可跳过输入帐密的繁琐程序。 虽然Google、微软、亚马逊、PayPal等早已支援Passkey，Meta自家的WhatsApp也已导入，但Facebook直到现在才跟进，显示其对无密码登入的态度逐渐开放。不过Instagram目前尚未支援，Meta也未透露后续规划。 值得注意的是，Passkey采非对称加密，即使平台资料外泄，也无法还原登入资讯，显著提升帐号安全性。相较于传统PIN码或密码，生物辨识技术提供更高等级的保障。 在积极发展AI、混合实境与帐号整合的同时，Meta此举不仅顺应产业趋势，同时也优化整体使用体验。 至于如何设定Passkey？用户只需进入Facebook App的“设定”→“帐号管理中心”→ “密码与安全性”中来设定Passkey，而系统也可能在用户登入时主动提示启用。值得注意的是，即使启用Passkey，仍可选择传统密码等其他方式登入帐号，方便用户在未支援Passkey的装置上使用。

您好！請登入您的帳號