簡訊攻擊定義
簡訊攻擊意指使用簡訊服務（SMS）和其他手機訊息應用程式進行的惡意威脅性網路攻擊。此類攻擊會利用惡意軟體和網站對使用者造成損害。
簡訊攻擊可能會導致私人資訊遭竊並向其他使用者傳播惡意軟體。使用簡訊和其他文字訊息進行的攻擊可能會使用到用多種工具，然而，最常見的方式則是惡意軟體。
什麼是簡訊惡意軟體？
簡訊惡意軟體本質上是透過簡訊傳送給受害者的任何惡意軟體。
雖然惡意軟體也能透過電子郵件和許多其他方式傳送至行動裝置中，但簡訊惡意軟體的傳播則是透過文字的方式。這種有害的軟體能未經使用者許可就侵入行動裝置並在其上運行。
惡意軟體侵入裝置後就會造成多種有害影響。以下為其中常見影響：
- 存取：擅自登入或阻止登入私人帳戶、服務等。
- 濫用：將行動裝置或服務用於未經授權的用途
- 暴露：洩漏使用者的行動裝置、帳戶等私人資料。
- 刪除：刪除行動裝置、服務等上的資料。
- 更改：惡意修改使用者裝置、服務等資料。
所有的行動裝置都容易受到簡訊惡意軟體和簡訊攻擊。受影響的裝置通常運行的是 Google 的 Android 平台，因為世界上大多數的智慧型手機和平板電腦都使用該作業軟體。雖然駭客經常以這個受到廣泛使用的平台作為理想目標，簡訊惡意軟體也會發生在蘋果的 iOS 上，儘管人們常常誤以為其不會受惡意軟體影響。
這些威脅一定程度凸顯了行動裝置上防惡意軟體的重要性。
簡訊惡意軟體威脅仍逐年增長，未來幾年也會繼續對行動裝置使用者構成重大風險。作為簡訊攻擊的一種類型，簡訊惡意軟體威脅和同類型的其他威脅對所有行動裝置使用者構成重大威脅。
簡訊攻擊的運作方式為何？
簡訊攻擊會透過簡訊傳送惡意 URL 連結，並通常會將使用者重新導向至網站或進行下載。點擊到這些連結的使用者可能會在不知不覺中下載到有害的程式碼或洩露敏感資訊並對自己造成損害。
攻擊者在進行簡訊攻擊時通常會分以下幾個階段進行攻擊：
- 準備：收集並製作網路攻擊所需的資源。
- 散播：透過簡訊或行動訊息應用程式傳送惡意訊息給眾多使用者。
- 侵害：成功引誘使用者接觸攻擊內容並造成自身安全漏洞。
- 執行：在受感染的裝置上進行所需的操作以實現簡訊攻擊的目標。
攻擊者在準備階段時會尋找能透過手機網路散播攻擊內容的方式，也需要建立任何能傳播惡意軟體或收集使用者資訊的管道。攻擊者準備好散播惡意文字訊息後就會讓使用者開始接觸攻擊內容。
與其他類型的攻擊不同，簡訊攻擊主要針對社會工程手法而設計，用於欺騙受害者並造成自身安全漏洞。緊急感是攻擊者用來促使受害者採取行動的關鍵跡象。在使用者誤用連結後，攻擊者就能在使用者的裝置和其所連接的服務上進行其意圖。
值得注意的是，某些簡訊攻擊可能不會完全依照相同的方式進行。然而，許多常見的攻擊都會利用上述方式進行散播和侵害。
因此，簡訊攻擊通常會對使用者造成直接性影響，也會損害行動裝置或手機的訊息服務業者的聲譽並導致網路癱瘓。
簡訊攻擊的傳播方式為何？
簡訊惡意軟體的傳播可能發生在攻擊開始時或使用者其後受到感染時。顧名思義，簡訊惡意軟體表示攻擊的某些方面與簡訊有關（或其他手機文字訊息服務）並會使用到惡意軟體。
雖然其顧名思義應該只透過簡訊進行傳播，但惡意軟體也可以透過其他方式進行傳播。最初和後續的感染媒介可能包括手機訊息應用程式以及任何使用行動數據的訊息服務，例如：WhatsApp、Apple iMessage 和 Facebook Messenger。
使用者在某些情況下也可能非透過手機簡訊受到簡訊惡意軟體感染。電子郵件、網站和其他網路服務也可能會傳播進行簡訊攻擊的惡意軟體，並可能會導致使用者不知不覺成為簡訊惡意軟體攻擊的傳播者。
就簡訊惡意軟體而言，有兩種威脅需要了解：
- 直接散播：來自攻擊者的原始簡訊攻擊訊息的手機惡意軟體。
- 二次散播：手機惡意軟體或其他惡意程式碼「劫持」行動裝置並再次透過簡訊向更多使用者傳播惡意軟體。
間接散播，攻擊者使用手機網路或訊息服務將惡意軟體的誘騙文字傳送給使用者。通常，攻擊者會使用惡意程式碼自動傳送簡訊而無需手動傳送給每個使用者。
二次散播時，受感染的使用者將攻擊內容傳播給其通訊錄中的聯絡人。而最初感染則是由於攻擊者在使用者可能危害自身安全的地方植入惡意程式碼所致。使用者受到感染後，惡意程式碼就能開始傳播惡意軟體。
惡意應用程式、電子郵件以及社群媒體貼文和訊息都是使用者受到「劫持」並將攻擊內容進行二次傳播的常見方式。惡意程式碼能盜用使用者通訊錄中的聯絡人清單來傳送簡訊攻擊訊息。
攻擊者的惡意程式碼也能接管使用者的行動裝置並將其作為殭屍網路使用，如此一來，攻擊者能傳送指令進行操控並執行預先設定內容外的操作，其中可能包括收集使用者的聯絡人資訊並用於製作更大的攻擊目標清單或執行其他攻擊，例如 DDoS ，但此類後門存取有時則是為了進行持續性攻擊。
簡訊與手機惡意軟體攻擊的類型
下列是眾多簡訊攻擊中值得注意的一些類型：
簡訊網路釣魚（簡訊詐騙）
進行簡訊網路釣魚或「簡訊釣魚」時，攻擊者會透過簡訊假冒受信任的個人或機構來欺騙使用者，使其造成自身的安全漏洞。
攻擊者可能會引導使用者感染惡意軟體、匯款或被洩露私人資訊，例如：帳戶憑證或銀行資訊。
網路釣魚多年來一直是流行的網路攻擊，因為人們在收到他們信任的個人或組織的訊息時往往不會起疑心。此外，帶有急迫性的訊息利用人類的信任並附上簡單的惡意連結和檔案附件，連精明的網路使用者也可能受騙。
手機惡意軟體
手機惡意軟體意指在行動裝置上執行的任何惡意軟體，網路犯罪者製作和散播此類惡意軟體來針對受害者的行動裝置，並通常簡訊詐騙等其他簡訊攻擊的媒介。常見的攻擊媒介包括：
- 勒索軟體：加密受害者裝置的資料並要求贖金才能解鎖。
- 間諜軟體：監視使用者的活動，例如：按鍵、滑動手勢和點擊。
- 點擊劫持：可以掩蓋與受害者裝置的互動，誘騙受害者採取有害行動。
- 病毒：讓應用程式進行夾帶、並在其運行時執行和複製來感染裝置的惡意活動。
- 木馬程式：充當誘餌應用程式或檔案，本身可能為惡意軟體或含有惡意威脅。
付費簡訊詐騙
付費簡訊詐騙意指以未經授權的方式讓使用者註冊訂閱訊息服務。受害者的電信帳單上會出現不明的費用，如果犯罪者本身就是相關服務的提供者，則等於受害者在不知不覺下向攻擊者付費。
付費簡訊服務可能是每日星座運勢或其他日常服務，雖然可能合法，但可能受到攻擊者的濫用來獲利並帶來相關問題。
有時，木馬程式等惡意軟體也可能會感染裝置並觸發加入付費服務，而此類木馬程式或其他惡意軟體能在使用者不知情或未經同意的情況下擅自撥打電話或擅自傳送文字訊息，並可能轉至收費簡訊服務或收費號碼，而這些服務的背後則為網路犯罪者，並以此產生大量收入。
簡訊攻擊例子
多年來，簡訊攻擊一直在增加，特別是隨著全球行動裝置使用量的增加。下列為一些值得留意的最新攻擊：
Emotet — 簡訊網路釣魚與惡意軟體／木馬程式
2020 年初，網路犯罪者利用一種名為，透過簡訊誘騙使用者並進行憑證竊取和惡意軟體感染。攻擊者假冒美國國內的銀行並傳送具有急迫性的訊息（例如：銀行儲蓄帳戶遭到凍結），並附上惡意網路連結，引導目標使用者解決不存在的問題。攻擊者也使用當地的電話號碼格式並以常見的自動提醒文字格式製作訊息，導致受害者驚慌並點擊。
受害者在點擊惡意連結後會被導向至詐騙用的銀行登入頁面，當受害者嘗試登入時，該頁面則會在受害者不知不覺的情況下記錄其帳戶憑證。然後，受害者會下載到使用巨集形式的惡意程式碼所編寫的檔案，並進入攻擊的第二階段。
Emotet 的蠕蟲式複製及其防惡意軟體的規避手法使其具有重大危險性。雖然 Emotet 惡意軟體現在透過標準的網路釣魚攻擊方式進行傳播，但其自 2014 年以來一直透過各種管道進行傳播（在 2019 年中期短暫中斷），而 Emotet 的不斷演變也使其成為需要留意的威脅。
Filecoder — Android 簡訊勒索軟體
2019 年 7 月，針對 Google Android 裝置的新型勒索軟體的報導開始陸續出現。該威脅被稱為 Android/Filecoder.C，並會透過簡訊傳播，且能透過資料加密鎖定手機檔案，受害者會被索取贖金以換取對檔案的存取權限。
該威脅自 2019 年 7 月以來就一直存在，並透過 Reddit 等網路論壇進行傳播。其誘餌通常是色情內容，隱藏在 bit.ly 等 URL 縮短服務的連結。
不小心使用到連結的 Android 受害者會感染惡意軟體，並向其手機通訊錄中的每位聯絡人傳送含有惡意連結的文字訊息，並推廣某個應用程式，而當受害者安裝後，該應用程式就會在後台默默運行勒索軟體。
簡訊防護 - 如何防範簡訊攻擊
可以採取哪些措施來保護自己避免簡訊攻擊？下列為保護自己的一些關鍵建議：
- 三思並謹慎行事：急迫性通常是一個可疑跡象，應該先停下腳步並謹慎判斷。透過可信任的管道直接聯繫寄件方，例如機構網站上的官方電話號碼。如果內容聲稱來自認識的人，請也同樣以可信任的管道聯絡對方。
- 檢查電信帳單：可疑的費用可能表示受到詐騙，因此請務必在發現可疑費用後立即舉報並提出異議。
- 留意細節：奇怪的用字、文法和措辭都表示訊息並非來自官方機構。官方通訊內容通常會經過仔細的撰寫和審查，而簡訊攻擊則通常不會。
- 對寄件者保持謹慎：非通訊錄中的寄件者應仔細調查，如果是朋友或其他已知的聯絡人也要小心謹慎。對可疑的連結保持警慎，請以簡訊外的方式與寄送者聯繫以確認其安全性。
- 請勿直接點擊任何連結：透過官方網站直接查看銀行等受信任組織的內容，避免點擊到潛在的惡意連結。
最後，安裝有效的防惡意軟體能保護行動裝置避免木馬程式和其他造成簡訊攻擊的惡意威脅。我們推薦卡巴斯基專業版：其可保護所有裝置（行動裝置、桌上型電腦、筆記型電腦、平板電腦）避免木馬程式、網路釣魚詐騙和其他惡意軟體攻擊。
