如今，各種出色的Android設(shè)備已能讓我們無縫地利用生活中的碎片時間，開展各類工作、娛樂、創(chuàng)作、以及交流等活動。不過，目前隨著越來越多的安全威脅在我們沒注意到或看不見的角落里暗流涌動，時常會危及我們的數(shù)據(jù)、隱私、甚至是Android設(shè)備本身的安全。下面，我將和您深入討論Android設(shè)備用戶時常面臨的6大安全威脅，并逐一給出對策。

?

1.惡意軟件

根據(jù)Securelist的報告，僅在2023年第二季度，卡巴斯基就阻止了570多萬起惡意軟件、廣告軟件、以及風險軟件(Riskware)對于各類Android設(shè)備的直接攻擊。 其中，最普遍的現(xiàn)象之一是：那些潛在不需要的程序(Potentially Unwanted Programs，PUP)經(jīng)常被偽裝成實用工具，成功地植入用戶設(shè)備。在檢測到的威脅中，有超過30%的被標記為風險工具(RiskTool)PUP。它們既可以通過廣告來“炸屏”設(shè)備，又能夠監(jiān)聽和收集個人數(shù)據(jù)。 更令人擔憂的是：本季度，全球又有37萬個惡意應(yīng)用包被發(fā)現(xiàn)。其中，近6萬個移動銀行木馬被發(fā)現(xiàn)旨在竊取財務(wù)信息，1300多個移動勒索軟件被發(fā)現(xiàn)在支付勒索之前會鎖定設(shè)備。隨著攻擊者越來越高明，此類數(shù)字仍在攀升。此外，卡巴斯基安全專家還發(fā)現(xiàn)了一些以前從未見過的新型勒索軟件和銀行木馬。例如，他們在Google Play商店里發(fā)現(xiàn)了一個被偽裝成電影流媒體服務(wù)的、旨在偽造加密貨幣挖礦的應(yīng)用。 當然，占總體威脅20%以上的廣告軟件也依然猖獗。雄踞此類軟件榜首的MobiDash和HiddenAd等隱蔽廣告軟件家族，仍在通過隱藏其運行進程的方式，讓用戶不堪其擾。 對此，作為Android用戶，為了保持安全，您應(yīng)該在使用各種Play商店下載應(yīng)用之前，仔細查看其權(quán)限請求，以保證使用可信的移動工具，并保持軟件的安全更新。 ?

2.網(wǎng)絡(luò)釣魚

通過網(wǎng)絡(luò)釣魚實施欺詐是目前Android用戶面臨的另一個巨大安全風險。此類攻擊往往使用社會工程和虛假界面，以誘騙用戶提交敏感信息。根據(jù)?Straitimes的報告顯示，自2023年3月以來，僅新加坡一地，就有至少113名Android用戶，因網(wǎng)絡(luò)釣魚欺詐而蒙受了約445000美元損失。 此類攻擊最常見的策略是：將應(yīng)用或鏈接重定向到偽造的銀行登錄頁面上，以竊取用戶的憑據(jù)和一次性密碼。據(jù)此，騙子可以訪問真實的銀行應(yīng)用，進而構(gòu)造未經(jīng)授權(quán)的交易。此外，一些釣魚應(yīng)用甚至會包含惡意軟件，從而在后臺鎖死密碼或其他數(shù)據(jù)。 攻擊者通常會在社交媒體或即時通訊類應(yīng)用上，冒充合法企業(yè)，以部署與購買商品或服務(wù)的相關(guān)釣魚鏈接。隨著方式的迭代，我們已發(fā)現(xiàn)有更多的與流媒體、游戲、眾籌、以及其他流行數(shù)字服務(wù)相關(guān)的網(wǎng)絡(luò)釣魚方式的出現(xiàn)。 而魚叉式網(wǎng)絡(luò)釣魚(Spear phishing)使用的是有針對性的內(nèi)容，這使得攻擊本身更難被發(fā)現(xiàn)。詐騙者往往利用新冠疫情等當前時事和熱點話題，來誘騙用戶點擊。此外，具有人工智能(AI)加持的ChatGPT等模型，也能夠輕松地生成令人信服的釣魚網(wǎng)站和相關(guān)內(nèi)容。 對此，我們應(yīng)當謹慎點擊嵌入式的社交媒體廣告，避免使用未知的應(yīng)用，并密切關(guān)注系統(tǒng)針對權(quán)限變化的提示。

3.未修補的漏洞

谷歌近期發(fā)布了幾個Android安全更新，并再次證明了未修補的bug對于Android用戶危害的嚴重性。按照谷歌的說法，其中最嚴重的新漏洞之一便是CVE-2023-21273。它是存在于系統(tǒng)組件中的一個嚴重的遠程代碼執(zhí)行漏洞。據(jù)此，黑客可以完全控制您的設(shè)備，從而在您不知情的狀態(tài)下，開展各種非法活動。 除了上述漏洞，其他嚴重的漏洞還有：媒體框架(Media Framework)中的CVE-2023-21282和內(nèi)核中的CVE-2023-21264。攻擊者可以利用這些漏洞，在您的手機或平板電腦上執(zhí)行惡意代碼。此外，近三十多個其他類型的高嚴重性漏洞，還可能導致黑客未經(jīng)授權(quán)地訪問、以及破壞您的設(shè)備，或竊取您的個人信息。 遺憾的是，由于我們中只有少數(shù)人能夠保持每一、兩年的手機更換頻率，以及購置相應(yīng)的關(guān)懷服務(wù)，因此許多Android設(shè)備并沒有及時被打上重要的安全補丁。也就是說，它們?nèi)钥赡苋菀资艿焦雀鑾讉€月、甚至幾年前被發(fā)現(xiàn)的漏洞的影響。 可見，您至少要做到在收到提示時，及時更新Android系統(tǒng)及其安裝軟件。如果您的設(shè)備無法再被廠商支持，或不再能夠獲得其更新的話，那么可能是時候該更換為另一個較新的型號了。

4.公共Wi-Fi黑客

在生活中，人們就算有充足的移動數(shù)據(jù)套餐，也會對免費的公共Wi-Fi樂此不疲。由于黑客越來越多地瞄準了公共Wi-Fi，從毫無戒心的Android用戶那里竊取重要數(shù)據(jù)和憑證，因此在用Android設(shè)備接入咖啡店、機場或酒店的開放Wi-Fi網(wǎng)絡(luò)前，請您三思而后行。畢竟攻擊者可以輕松地通過設(shè)置存在隱患的Wi-Fi熱點，監(jiān)視并抓取與之相連的設(shè)備流量，進而解讀出銀行賬戶和信用卡的密碼、以及登錄信息。 黑客最常用的一種攻擊戰(zhàn)術(shù)，莫過于中間人攻擊(man-in-the-middle attacks)。他們會插入到設(shè)備和Wi-Fi路由器之間，扮演通信中的某一方，直接竊聽甚至更改網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)，或是通過誘騙用戶連接到冒名的網(wǎng)站，來傳播惡意軟件。 與此同時，Android設(shè)備通常會自動連接到以前使用過的Wi-Fi上。這就意味著您可能會在不知不覺中加入到某個過去安全，但如今已被黑客攻擊的公共網(wǎng)絡(luò)中。對此，您可以從如下方面做起：

只連接和使用可信的Wi-Fi、以及由其提供的VPN服務(wù)

在系統(tǒng)設(shè)置上，主動關(guān)閉自動加入（auto-join）功能

留意“不安全網(wǎng)絡(luò)”的警告

在訪問敏感應(yīng)用或網(wǎng)站時，請?zhí)岱揽赡艹霈F(xiàn)的肩窺者（shoulder surfer）話說回來，您家里的自建私有Wi-Fi網(wǎng)絡(luò)也不一定足夠安全。因此，在您點擊打開自己的電子郵件信箱、輸入身份和帳戶相關(guān)數(shù)據(jù)時，應(yīng)格外小心。

?

5.USB充電風險

在Android設(shè)備電量不足時，通過插入USB端口為其充電是再平常不過的事了。但是，黑客可以通過操縱公共USB充電器，來危害充電設(shè)備。這種攻擊行為俗稱：榨汁(Juice Jacking)。通常，攻擊者會在機場、商場、餐館等任何公共設(shè)施的快速供電設(shè)備與線纜上，安裝和加載惡意軟件。一旦有設(shè)備插入USB端口，惡意軟件就會利用充電電纜來訪問您的設(shè)備，并在幾秒鐘內(nèi)完成傳播與感染。據(jù)此，惡意軟件可以將您的個人信息和數(shù)據(jù)回傳給攻擊者，而您只知道手機正在持續(xù)充電。 對此，我們強烈建議避免使用任何公共USB充電端口。如果迫不得已的話，請帶上您的線纜和交流適配器。同時，在充電時請保持手機處于鎖定狀態(tài)，以阻止文件傳輸，并按需檢查設(shè)備上是否有可疑的活動提示。此外，您也可以購買USB數(shù)據(jù)屏蔽狗(Data Blocker Dongle)，只允許電流的通過，而阻止數(shù)據(jù)的傳輸。當然，在包里常備和使用自己的充電寶，永遠是避免“榨汁”風險的最安全的實踐方式。 ?

6.物理設(shè)備盜竊

由于我們的移動設(shè)備里包含了從帳戶、密碼到照片、消息等大量個人數(shù)據(jù)，因此它們自然成為了小偷竊取和利用敏感信息的首要目標。據(jù)英國廣播公司(BBC)報道：2022年，倫敦警方通報了本市共計90000多部手機被盜的案件。其中，最常見的移動設(shè)備盜竊地點是諸如：餐廳、酒吧、機場和公交站點等公共場所。 狡猾的小偷時常會先肩窺到鎖屏密碼，然后直接從毫無戒心的用戶手中搶走手機。一旦他們擁有了設(shè)備，便可以解鎖屏幕，繞過Android安全防護，或是直接盜取數(shù)據(jù)，或是安裝惡意軟件來鎖死數(shù)據(jù)。 對此，您應(yīng)該避免使用諸如生日或圖案等顯而易見的鎖屏密碼，每次使用完設(shè)備后請記得鎖屏或一鍵待機，并事先啟用Android系統(tǒng)中的“查找我的設(shè)備”功能。同時，通過安裝移動安全套件，您不但可以將手機上的重要數(shù)據(jù)備份保存到外部或云端，而且能夠在發(fā)生物理盜竊后，及時實施遠程鎖定、擦除和恢復。 ?

不要對Android威脅放松警惕

盡管Android系統(tǒng)多年來一直致力于加強其內(nèi)置的防御能力，但上述討論的風險足矣表明，除了單純地依賴設(shè)備系統(tǒng)的安全，我們更應(yīng)該積極主動地提高警惕與防范意識。綜上所述，我們可以從如下方面進行實踐：

使用復雜、唯一的密碼、以及雙因素身份驗證的方式來保護帳戶。

審查應(yīng)用權(quán)限，僅從受信任的來源安裝應(yīng)用。

為Android操作系統(tǒng)和應(yīng)用打補丁并保持最新。

不隨便連接公共Wi-Fi。

避免使用公共USB充電器。

啟用遠程跟蹤和擦除功能，以防設(shè)備的丟失或被盜。 ?

編輯：黃飛

?