全部文章分享

2023 年上半年攻擊者的停留時間縮短至 8 天

新型入侵和社交工程手法: 攻擊鏈結合電話和 email

Sophos: Hive、Royal 和 Black Basta 勒索軟體組織有所關連

教育機構是勒索軟體攻擊顯著目標

Sophos示警：北韓駭客入侵科技公司 JumpCloud 偷取加密貨幣

Sophos遭新勒索軟體SophosEncrypt冒充

Sophos MDR推出適用Microsoft Defender 的託管式服務

勒索軟體攻擊加密成功率三年來最高、製造業復原時間較去年長

74%的資料洩露始於人為疏失或社交工程攻擊

MOVEit Transfer 漏洞導致多間英國企業遭入侵

利用企業電子郵件詐騙數量大幅上升

         本文擷取自資安人

 Sophos發現多個 App 假扮成合法的 ChatGPT 型聊天機器人並向用戶收取費用，每月賺取數千美元的收入。Sophos X-Ops 最新報告《騙錢軟體鎖定對 AI 好奇的用戶並賺取現金》中揭露，這些 App 已經出現在 Google Play 和 Apple App Store 中。由於它們的免費版本幾乎沒有功能且經常出現廣告，促使毫不知情的用戶支付每年可能達數百美元的訂閱費用。

Sophos 首席威脅研究員 Sean Gallagher 表示：「詐騙集團總是利用最新的趨勢或技術來填滿自己的口袋，ChatGPT 出現後也不例外。隨著近來人們對人工智慧和聊天機器人的興趣達到歷史高峰，使用者會到 Apple 應用商店和 Google Play 商店下載任何看起來像是 ChatGPT 的東西。這些被 Sophos 稱為騙錢軟體 (fleeceware) 的詐騙 App 通常會向使用者不斷地投放廣告，直到他們訂閱為止。詐騙分子賭使用者不會注意到費用，或是會忘記自己已經訂閱了這個服務。這些 App 被特意設計成在免費試用後就沒有太多實用價值，所以使用者會刪除它們，但不會意識到他們仍需支付每月或每週的費用。」

Sophos X-Ops 總共調查了五個這種類型的 ChatGPT fleeceware App，它們都聲稱使用了 ChatGPT 的演算法。就像其中一支「Chat GBT」App 一樣，開發者利用神似 ChatGPT 的名字來提高該 App 在 Google Play 或 App Store 中的排名。儘管 OpenAI 為使用者提供的 ChatGPT 基本功能是免費的，但這些騙錢軟體的收費卻是從每月 10 美元到每年 70 美元不等。「Chat GBT」的 iOS 版本稱為「Ask AI Assistant」，在免費試用三天後每週收費 6 美元，亦即每年 312 美元。僅在 3 月這一個月，它就為開發者帶來了 1 萬美元的收入。另一支類似 fleeceware 的 App 名為「Genie」，鼓勵使用者以每週 7 美元或每年 70 美元的費用訂閱，過去一個月已經賺了 100 萬美元。

這些騙錢軟體的主要特徵是用超高價格向使用者收取在其他地方免費提供的功能，並用社交工程和強制策略說服使用者使用自動訂閱付款。Sophos 在 2019 年首次發現了這種騙錢軟體。通常，這些 App 會提供免費試用但是充滿廣告和許多限制。除非付費訂閱，否則它們幾乎無法使用。此外這些 App 程式通常品質不佳，即使使用者轉換成付費版本後，App 的功能也不夠理想。詐騙分子還會透過假評論和要求使用者在使用之前或免費試用結束之前就給出評價，以提高該 App 在應用程式商店中的評等。

Gallagher 說：「這些騙錢軟體被設計成在 Google 和 Apple 服務規範的邊緣地帶遊走，它們不會違反安全或隱私規則，因此在接受審查時幾乎不會被拒絕。自從我們在 2019 年揭露此類應用程式以來，Google 和 Apple 已經實施了新的指導方針來遏制它們，但開發者仍會尋找繞過這些政策的方法，例如嚴格限制應用程式的使用和功能，直到用戶付款。雖然本報告中的某些 ChatGPT 騙錢軟體已經被下架，但仍會更多後繼者繼續出現。最好的保護是教育使用者。使用者需要意識到這些應用程式的存在，並在按下『訂閱』前要仔細閱讀條款。如果使用者認為開發人員使用不道德的手段謀取利益，他們也可以向 Apple 和 Google 舉報應用程式。」

報告中提到的所有應用程式都已經回報給 Apple 和 Google。已經下載這些應用程式的用戶應該遵循 App Store 或 Google Play 商店的指引來「取消訂閱」。單是刪除這些騙錢軟體並不等於取消訂閱。