關於監控軟體你要知道的事

「擁有一個人手機的完整權限，僅次於完全進入一個人的腦袋。」此言來自網路安全專家伊娃·加珀林。這次迫切的演講，她描述了監控軟體的新興危險——也就是在他人不知情的情況下進入其設備來監視某人的軟體——她亦呼籲防毒軟體公司將這些程式識別為惡意程式，以阻止侵犯者並保護受害者。

我想大家和我一起回到過去，

回到之前的時間，到 2017 年。

我不知道你能否記起

恐龍在地球上漫遊。

我是個資安研究員，

我用了五或六年時間

做關於 APT 的研究，

即高級長期威脅的簡稱，

亦即是民族國家行動者

來監視記者、社會活動家、

律師、科學家，

還有對強權說真話的普通人。

我已經做了一段時間，

才發現我其中一位研究員，

這段時間一直與我共事的這個人

據稱是一名連續強姦犯。

所以我第一件做的事

就是讀了很多相關的報導。

而在 2018 年一月

我讀到一些據稱
是他受害者的相關文章。

而有一點讓我很震驚，

就是她們有多害怕。

她們真的很驚慌，

她們用膠帶覆蓋手機的鏡頭，

筆電的也是。

她們擔心的是他是個駭客，

而他會駭進她們的東西，

他會毀了她們的生活。

因此令她們沉默了很長的時期。

所以，我怒火中燒。

我不想任何人再有那種感受。

所以我做了生氣時常做的事：

在推特發文。

（笑聲）

而我的推文是

如果你是遭到駭客性侵犯的女性，

而那個駭客威脅要駭入你的設備，

你可以聯絡我，

我會試著確保

你的設備得到了大致上
完整的鑑識科學檢查。

然後我就去吃午餐了。

（笑聲）

然後被轉推了一萬次。

（笑聲）

我意外開始了一個計劃。

每天早上，我起床的時候
信箱都是滿的，

充滿著男性和女性的故事，

告訴我發生在他們身上最壞的事。

聯絡我的包括被男性監視的女性、

被男性監視的男性、

被女性監視的女性，

但是絕大多數與我聯繫的人

是遭到男人性侵的女性，

現在被他們監視著。

一個特別有趣的案例

是有個男人來找我，

因為他男朋友向他極度保守的韓國家人

公開了他是個同性戀。

因此，這不只是男性監視女性的問題。

我在此分享

從這經驗學到的事。

我學到的是資料會流出。

如水一樣。

會到你不想它到的地方。

人會流出。

你朋友會流出關於你的資訊，

你家人會流出關於你的資訊。

你參加派對，

有人標記了你在此。

而這就是其中一個方法

令侵犯者得到

你不想他們得知的資訊。

侵犯者到家人朋友那邊

以擔心受害人的「心理健康」為由，

拿取受害人資訊的情況並不罕見。

我看到的一種流出形式

實際上就是我們所說的帳戶被盜用。

你的 Gmail 帳戶、

你的推特帳戶、

你的 Instagram 帳戶、

你的 iCloud 帳戶、

你的 Apple 帳戶、

你的 Netflix、抖音——

我查了才知道抖音是甚麼。

只要需要登入帳戶，

就有可能被盜用。

因為侵犯者並不總是你的侵犯者。

戀人之間分享密碼很常見。

此外，親密的人、

知道對方很多事的人，

可以猜中對方的安全提問。

或是他們可以從背後偷看

對方在用甚麼密碼解鎖手機。

他們很常可以接觸到那手機，

或是他們可以接觸到那筆電。

這給了他們很多機會

對別人的帳戶做很多事，

而那是非常危險的。

好消息是我們對避免帳戶被盜用

提出了一些建議。

這個建議已經存在，它就是：

所有帳戶都用強、獨特的密碼。

用更強、更獨特的密碼

作為你安全問題的答案，

那麼那個知道你童年寵物名字的人

就不能重置你的密碼。

最後，打開你可以輕鬆使用的

最高級別的雙重身份驗證。

因此就算侵犯者成功盜取密碼，

因為他們沒有第二重認證，

就不能登入到你的帳戶。

另一件你應該要做的事

是你要看看安全和隱私頁面，

所有的帳戶都一樣。

大多帳戶都有安全和隱私頁面，

它會告知你甚麼裝置登入了，

亦會各告知你登入的位置。

例如，我在這，

由拉昆塔登入 Facebook，

也就是我們這次會議的地點，

而作為示範

我看了 Facebook 的登入紀錄，

看到有人從杜拜登入，

我會覺得那很可疑，

因為我已經有一段時間沒去杜拜了。

但有時，那其實是 RAT。

RAT 就是遠端存取工具的意思。

而遠端存取工具

本質上就是我們說的監控軟體。

能全面進入你的設備

對政府來說這麼誘人的原因之一

就和能全面進入你的設備

對侵犯人的現任和前任伴侶
這麼誘人的原因一樣。

我們整天攜帶著追蹤裝置。

我們攜帶的裝置有我們所有密碼，

所有通訊，

包括我們的端到端加密通訊。

所有電郵、所有聯絡人、

所有我們的自拍都齊集一身，

有時我們的財務資料也在這。

所以擁有一個人手機的完整權限，

僅次於完全進入一個人的腦袋。

而監控軟體的作用就是給你權限。

那你可能會問，它怎樣做到？

監控軟體的運作方式

就是個商業程式，

當侵犯者購買後

就安裝在他們想監控的裝置上，

很常是因為他們能親自拿到，

或者誘騙他們的目標自己安裝。

像是說這樣的話，

「這個程式很重要，你應該要安裝。」

然後就付款給監控軟體公司

取得進入裝置的入口，

來得到那裝置的所有資料。

通常每月只要付 40 美元左右。

所以真的超便宜。

這些公司知道

它們的軟體

被用作侵犯他人嗎？

當然知道。

如果你看看 Cocospy 的行銷文案，

它其中一個產品

在網頁上寫著

Cocospy 讓你輕易監控妻子，

「不用擔心她的去向、

她的聊天對象和到訪的網站。」

令人毛骨悚然。

HelloSpy，另一個類似的產品，

它們的行銷頁面有很大篇幅的文案

在說明出軌有多層出不窮，

還有抓到伴侶出軌的重要性，

裡面還有個男人的照片，

很明顯他抓到伴侶出軌，

然後痛打了她。

她一隻眼瘀青，臉上有血。

我不用想也知道

在這個例子中 HelloSpy
是站在哪一方的。

還有它們的銷售對象是誰。

事實證明很難知道監控軟體是否存在

你的電腦或手機裡。

而原因之一是

防毒公司

都不把監控軟體視為惡意軟體。

不視它作木馬

或是其他通常會

警告你的東西。

這些是 VirusTotal
今年稍早的部分結果。

我看了一個例子，

然後結果只有六十分之七的平台

認出我在測試的監控軟體。

還有另一個成功達到十，

六十一分之十。

那仍然是非常差的結果。

我成功說服幾家防毒公司

開始把監控軟體標為惡意的。

如果你擔心它在你的電腦中，

那麼你要做的事

就是下載程式，

進行掃瞄，它就會告訴你

「嗨，你的裝置上
有些你不想要的程式。」

它就會給你移除的選項，

但它不會自動刪除。

原因之一是因為

侵犯的運作方式。

通常，受害者不知應否

切斷侵犯者的進入權限，

這就等於打草驚蛇了。

或是擔心會升級為暴力，

或是現有的暴力升級。

卡巴斯基是首間

認真對待這類事件的公司之一。

今年十一月

它們發表了一份報告，

自從開始為使用者探測監控軟體，

它們看到了 35% 的增長。

同樣，Lookout 也發表聲明

說要更加認真對待此事。

而最後 Malwarebytes 亦聲明

在它們尋找的期間，

它們找到了 2500 個

可歸類為監控軟體的程式。

最後在十一月，
我幫忙成立了一個聯盟，

叫反監控軟體聯盟，

由學者組成，

還有實地在做這些事的人——

幫人擺脫親密伴侶暴力的從業人員，

還有防毒軟體公司。

我們的目標是教育大家
有關這些程式的知識，

還有說服防毒軟體公司

去改變常態，

改變它們應對這可怕軟體的手法。

那麼很快的，明年我再來這裡

站在你們眼前再說這件事的時候，

我就可以告訴你們問題已經解決了，

而你們只要下載任何防毒軟體，

它就會把偵測監控軟體視為理所當然，

那就是我的期望。

多謝大家。

（掌聲）