一項(xiàng)新的調(diào)查顯示，亞馬遜首席執(zhí)行官杰夫·貝佐斯的手機(jī)遭到黑客攻擊，據(jù)悉這起攻擊源于沙特王儲穆罕默德·本·薩勒曼名下的WhatsApp賬戶，以及一個看似無關(guān)痛癢的視頻文件。這次所謂的黑客攻擊表明，即使是在Facebook旗下這個大名鼎鼎的加密信息應(yīng)用上，網(wǎng)絡(luò)安全也永遠(yuǎn)得不到保證。無疑，即使你不是億萬富翁，也要記住這一點(diǎn)。
首先是來自《衛(wèi)報(bào)》和《金融時報(bào)》的報(bào)道，調(diào)查發(fā)現(xiàn)貝佐斯的iPhone X在2018年5月收到WhatsApp消息中的視頻文件后遭到黑客攻擊。負(fù)責(zé)此次調(diào)查的商業(yè)咨詢公司FTI Consulting稱對視頻文件來自穆罕默德·本·薩勒曼的WhatsApp賬戶有著“中度至高度的信心”。穆罕默德·本·薩勒曼也被稱為MBS。
根據(jù)FTI匯編的相關(guān)報(bào)告得知，由于WhatsApp的加密功能，視頻無法被研究，因此尚不清楚它是否包含惡意軟件。然而，調(diào)查人員觀察到，在視頻發(fā)送后不久，大量異常數(shù)據(jù)從手機(jī)中被竊取。（當(dāng)惡意行為者從設(shè)備上傳輸數(shù)據(jù)時，數(shù)據(jù)流失通常在用戶不知情的情況下發(fā)生。）這種高速流失持續(xù)了幾個月。
據(jù)報(bào)道，沙特政府對《華盛頓郵報(bào)》專欄作家Jamal Khashoggi于2018年10月被謀殺一事感到“非常擔(dān)憂”，而這段視頻就是在這個時候被發(fā)給《華盛頓郵報(bào)》老板貝佐斯的。中情局官員后來得出結(jié)論說，暗殺是在沙特阿拉伯王儲的批準(zhǔn)下進(jìn)行的。沙特王子否認(rèn)了這一指控。
與此同時，在《National Enquirer》報(bào)道貝佐斯有婚外情后，人們開始懷疑沙特政府曾在2019年2月侵入貝佐斯的手機(jī)。這份報(bào)告所依據(jù)的信息似乎只能通過貝佐斯的手機(jī)獲得。不久后，貝佐斯的安全團(tuán)隊(duì)聘請了FTI咨詢公司來調(diào)查他的手機(jī)。
一些消息進(jìn)一步證明了MBS侵入了貝佐斯的手機(jī)：在貝佐斯在電話中被告知他可能被沙特政府竊聽后的不久，MBS就通過WhatsApp給他發(fā)了一條消息。原文如此說道：“Jeff，所有你聽到的或被告知的都不是真的，相信你認(rèn)識到真相只是時間問題——不論是我還是我背后的沙特阿拉伯都沒有做什么。”
FTI報(bào)告的發(fā)布也引起了兩名聯(lián)合國人權(quán)專家的注意，他們呼吁對MBS入侵貝佐斯手機(jī)的指控進(jìn)行進(jìn)一步調(diào)查。與此同時，電話竊聽和Khashoggi謀殺案之間的潛在聯(lián)系似乎并沒有在貝佐斯身上消失。
據(jù)稱，MBS使用WhatsApp與許多知名人士進(jìn)行交流，包括Boris Johnson、Richard Branson和特朗普總統(tǒng)的女婿Jared Kushner。一位硅谷高管表示，科技行業(yè)的其他領(lǐng)袖和高管都對未被發(fā)現(xiàn)的攻擊感到擔(dān)憂。畢竟，在2018年4月訪問該地區(qū)時，MBS會見了其中的幾位——包括Sergey Brin、蒂姆·庫克和Peter Thiel。
既然它會發(fā)生在貝佐斯身上，這意味著它也可能發(fā)生在你身上——所以以下是你應(yīng)該記住的。
在貝佐斯和MBS之間錯綜復(fù)雜的揭秘下，人們很容易將這次信息泄露事件視為又一次高調(diào)的黑客攻擊。然而，這里值得注意的是，這次黑客攻擊發(fā)生在WhatsApp內(nèi)部。對于那些擔(dān)心自己的信息會被黑客截獲的人來說，WhatsApp自稱是一個安全的選擇。WhatsApp甚至在其FAQ中表示：“保護(hù)用戶的隱私和安全是我們的天職?！保╓hatsApp沒有回復(fù)記者的置評請求。）
在某種程度上，由于WhatsApp向用戶承諾的隱私和安全性，它是世界上最受歡迎的應(yīng)用之一，截至2018年2月，它在全球擁有約15億活躍用戶。它的主要安全特性是端到端加密，這意味著消息只能在傳輸過程中被發(fā)送方和接收方看到——任何攔截它們的人都會收到一個不可讀的加密文件。甚至連WhatsApp都無法讀取用戶的信息。
然而，正如貝佐斯黑客攻擊事件所顯示的那樣，這一額外的防護(hù)層不完全等同于絕對安全。假設(shè)報(bào)告的結(jié)論是正確的，端到端加密工作得很好：FTI無法解密連接到MBS賬戶發(fā)送的文件。但良好的加密技術(shù)并沒有阻止貝佐斯的手機(jī)在視頻文件發(fā)送后的幾周內(nèi)，向一個惡意的行動者發(fā)送千兆字節(jié)的數(shù)據(jù)。
值得指出的是，WhatsApp的默認(rèn)設(shè)置允許貝佐斯的手機(jī)自動下載視頻文件——以及其中的任何惡意軟件。因此，您可以選擇退出此功能，以幫助防止類似的事情發(fā)生在您身上。
貝佐斯遭黑客攻擊的故事似乎令人擔(dān)憂，但擔(dān)心安全問題的WhatsApp用戶可能還不想刪除這款應(yīng)用。盡管WhatsApp的歷史起伏不定，但幾位安全專家表示，他們并不認(rèn)為這款應(yīng)用存在特別大的問題。
電子前沿基金會網(wǎng)絡(luò)安全主管Eva Galperin表示：“這并不意味著WhatsApp存在漏洞。當(dāng)一個值得信任的聯(lián)系人發(fā)送給你一個精心設(shè)計(jì)的惡意鏈接時，他們什么也做不了?！?/p>
網(wǎng)絡(luò)安全公司Check Point的安全工程師Maya Levine表示，WhatsApp的缺陷并不嚴(yán)重。這款隸屬于Facebook的應(yīng)用只是一個極具吸引力的存在，而這使得它的漏洞被暴露出來的概率加大。
Levine表示：“這是加密信息，這意味著如果你能成功破解WhatsApp，就能獲得大量信息。WhatsApp可能是全球最受歡迎的加密消息應(yīng)用，正因?yàn)槿绱?，它可能更容易成為黑客的目?biāo)。但我不會斷言它不安全?！?/p>
網(wǎng)絡(luò)安全公司Sophos的首席研究員Paul Ducklin表示，對于普通人來說，最好的應(yīng)對方法是不要被一種錯誤的安全感所蒙蔽，不要因?yàn)樽约翰皇堑湫偷暮诳凸裟繕?biāo)，就以為不會受到黑客攻擊。他還表示，即使是帶有隱私功能的應(yīng)用也不是百分百安全的。
Ducklin表示：“不幸的是，在網(wǎng)絡(luò)犯罪中，沒有人是絕對安全的，你使用的軟件也不可能百分百沒有漏洞。有時人們可以使用了WhatsApp程序或任何同類程序，一旦他們發(fā)現(xiàn)它有所有這些加密功能，并且這種加密指的是對你與他人來往內(nèi)容的加密，他們就會直接假設(shè)這些消息以后永遠(yuǎn)是安全的。我們應(yīng)當(dāng)知道，重要的是，不要過于聽信一種技術(shù)，認(rèn)為它對你的保護(hù)是超過它所真正能做到的。”
雖然，什么情況都不是萬無一失的，但你可以做一些事情來降低風(fēng)險。
“隨時更新你的手機(jī)操作系統(tǒng)和應(yīng)用，”Levine說。更新將包含修復(fù)缺陷和漏洞的安全補(bǔ)丁，這種更新通常在發(fā)現(xiàn)缺陷和漏洞后不久就會推出。
盡管WhatsApp存在安全問題（WhatsApp也不是唯一存在這個問題的加密通訊應(yīng)用），但Galperin認(rèn)為用戶不應(yīng)該放棄它。去年5月，她寫了一篇關(guān)于WhatsApp另一個漏洞的文章，在文中她仍建議人們繼續(xù)使用端到端的加密信息應(yīng)用，她說這是“保護(hù)信息內(nèi)容最有效的方式之一”，至少對“大多數(shù)人來說是這樣的”。
與此同時，Ducklin說，防止敏感信息從你的手機(jī)上被竊取的最佳方法同時也是一種由來已久的方法，即把不要敏感信息放出來。再三考慮一下你要分享什么，你要和誰分享。
雖然貝佐斯是因?yàn)樽鳛橐粋€獨(dú)特的、令人滿意的黑客攻擊目標(biāo)而面臨危機(jī)，但即使是一個相當(dāng)安全的應(yīng)用，不管是誰，把全部信任都放在一個應(yīng)用上，都具有一定的危險性。
Ducklin表示：“依靠加密應(yīng)用無法百分百做到信息安全。”
廣告聲明：文內(nèi)含有的對外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。