2020年应严重的8大移动安全威胁其敏感信息可能落入坏人之手，使安全工作变得越来越复杂。因此，风险比以往任何时候都高：根据PlomonInstitute2018年的一项调查，每次数据泄露的平均成本高达386万美元。这比一年前的估计损失高出6.4%。虽然人们很容易将注意力集中在恶意软件这一备受瞩目的话题上，但现实情况是，感染恶意软件的手机在现实世界中极为罕见。根据一项调查，手机被感染的几率远低于被闪电击中的几率。事实上，恶意软件目前被认为是数据泄露中最不常见的攻击，实际上在Verizon的《2019年数据泄露调查报告》威胁排名中甚至排在物理攻击之后。这要归功于移动设备恶意软件的性质以及现代移动设备操作系统中内置的固有保护。更多真实的移动设备安全问题存在于一些容易被忽视的领域，所有这些问题只会变得更加紧迫：1.数据泄露数据泄露被广泛认为是2019年企业安全最令人担忧的威胁之一。记住当手机有几乎没有机会感染恶意软件？根据PormonInstitute的最新研究，在数据泄露方面，企业有28%的可能性在未来两年内至少发生一次事件。换句话说，赔率超过四分之一。这个问题令人不安的方面是，它可能只是用户无意、不明智的决定哪些应用程序可以查看和传输他们的信息。“主要的挑战是如何以一种不会让管理员不知所措或让用户失望的方式实施应用程序审计，”研究公司Gartner的移动设备安全研究主管DionisioZumerle说。设备威胁防御(MTD)解决方案，例如Symantec的EndpointProtectionMobile、CheckPoint的SandBlastMobile和Zimperium的zIPSProtection。Zumerle说，这些实用程序会扫描应用程序以查找“泄漏”，并可以自动阻止有问题的进程。当然，即便如此，也不一定总能涵盖因用户错误造成的泄漏，例如将公司文件传输到公共云存储服务、将机密信息发送到错误位置或将电子邮件转发给不合适的收件人。这是医疗行业目前正在努力应对的挑战：专业保险提供商Beazley&Co.在医疗机构2018年第三季度的调查报告中声称，“意外披露”是导致数据泄露的主要原因。在本报告中报告的所有数据泄露事件中，意外和内部泄露几乎占了一半。对于此类违规行为，数据丢失防护(DLP)工具可能是最有效的保护措施。此类软件专门用于防止意外泄露敏感信息。2.社会工程移动设备遭受与台式计算机相同的令人不安的欺骗策略。尽管人们认为可以很容易地避免社会工程作恶，但它们仍然非常有效。根据安全机构FireEye2018年的一份报告，91%的网络犯罪始于电子邮件。该公司将此类事件称为“无恶意软件攻击”，因为它们依赖于模仿等策略来诱骗人们点击危险链接或提供敏感信息。网络钓鱼在2017年增长了65%，移动设备用户面临更大的风险，因为许多移动设备电子邮件客户端只显示发件人的姓名，这使得欺骗邮件和诱骗人们认为电子邮件来自他们认识或信任的人更容易点击。根据IBM的一项研究，用户在移动设备上响应网络钓鱼攻击的可能性实际上是桌面设备的三倍，部分原因是人们更喜欢在手机上浏览消息。Verizon的新研究支持这一结论，指出手机的屏幕尺寸较小以及智能手机上相应的详细信息显示有限（特别是在通知中，现在通常包括打开链接或回复消息的一键式选项），也可能增加网络钓鱼成功的可能性。此外，移动设备电子邮件客户端中以操作为导向的按钮很突出，而且员工倾向于使用智能手机进行多任务处理的分散方式加剧了这种影响，现在大多数网络流量通常发生在移动设备上，这将进一步鼓励网络攻击者以这个区域为目标。不仅仅是电子邮件：正如企业安全机构Wandera在其最新的移动设备威胁报告中指出的那样，过去一年中83%的网络钓鱼攻击发生在电子邮件之外，例如短信、FacebookMessenger和FacebookMessenger。、WhatsApp以及各种游戏和社交媒体服务。此外，根据Verizon的最新调查数据，只有百分之几的用户实际点击了与网络钓鱼相关的链接（在1%到5%之间，具体取决于行业），但Verizon的早期研究表明，这些受骗的人往往会再次受骗。该公司指出，用户在网络钓鱼活动中点击链接的次数越多，他们将来再次点击的可能性就越大。Verizon此前曾报告称，15%的被成功钓鱼的客户将在同一年至少再次被欺骗。PhishMe的信息安全和反网络钓鱼策略师JohnRobinson表示：“我们确实看到移动设备的敏感性总体上受到移动计算的整体增长以及自带设备(BYOD)工作环境的持续增长的推动。”.使用真实世界的模拟来培训员工识别和响应网络钓鱼企图。Robinson指出，工作和个人计算之间的界限也越来越模糊。他指出，越来越多的员工在他们的智能手机上查看多个收件箱（链接到工作和个人帐户的组合），而且几乎每个人都在工作日在线处理某种个人业务。因此，在接收工作相关信息的同时接收看似个人电子邮件的想法似乎一点也不奇怪，尽管这实际上可能是一个诡计。今天，赌注将继续增加。显然，欺诈者仍在使用网络钓鱼来诱骗人们放弃旨在保护帐户免遭未经授权访问的双因素身份验证代码。通过专用物理安全密钥（例如谷歌的Titan或Yubico的YubiKeys或通过谷歌针对Android手机的设备上安全密钥选项）转向基于硬件的身份验证，被广泛视为提高安全性和减少网络钓鱼可能性的最有效方法。根据谷歌、纽约大学和加州大学圣地亚哥分校的一项联合研究，与那些针对2FA代码的竞争性攻击相比，即使只是在设备上进行身份验证也可以防止99%的批量网络钓鱼攻击和90%的针对性攻击易受网络钓鱼攻击的有效率分别为96%和76%。3.Wi-Fi干扰移动设备的安全性取决于其传输数据的网络。在这个时代，人们不断地连接到公共Wi-Fi网络，这意味着人们的信息往往没有想象中的那么安全。这有多重要？根据Wandera研究，企业移动设备使用Wi-Fi几乎是蜂窝设备使用数据的三倍。近四分之一的设备连接到开放且可能不安全的Wi-Fi网络，4%的设备在上个月遭受了中间人攻击（有人恶意拦截双方之间的通信）。安全供应商McAfee表示，在线欺骗最近急剧增加，但只有不到一半的人在旅行和依赖公共网络时保护他们的连接。“现在加密流量并不难，”锡拉丘兹大学计算机科学教授KevinDu说，他专门研究智能手机安全。没有VPN，许多门都会打开。然而，选择合适的企业级VPN并非易事。与大多数与安全相关的考虑因素一样，几乎总是需要权衡取舍。Gartner的Zumerle指出：“对于移动设备，VPN交付需要更加智能，因为最大限度地减少资源消耗（主要是电池）至关重要。有效的VPN应该知道仅在绝对必要时激活，而不是在用户访问新闻网站或他说，在已知安全的应用程序中工作。4.过时的设备智能手机、平板电脑和小型连接设备（通常称为物联网）对企业安全构成新的风险，因为与传统的工作设备不同，它们通常不能保证及时和持续的软件更新。特别是在Android平台上，绝对大多数制造商未能通过操作系统(OS)更新和它们与物联网设备之间的安全补丁来使他们的产品保持最新状态。“其中许多甚至没有内置-在补丁机制中，今天这些威胁正在路上，”杜说。越来越多。除了增加网络攻击的可能性外，移动设备的广泛使用据PlomonInstitute称，电子平台增加了数据泄露的总体成本，而与工作相关的物联网产品的丰富只会进一步推动这一数字。据网络安全供应商Raytheon称，物联网是一扇敞开的大门，该公司发布的研究表明，82%的IT专业人士预测，不安全的物联网设备将导致其组织内的数据泄露，并可能导致灾难性后果。同样，实施强大的安全策略还有很长的路要走。某些Android设备确实会收到及时可靠的持续更新。在物联网空间更加成熟之前，企业需要创建自己的安全网。5.Cryptojacking攻击加密劫持是相关移动设备威胁列表中相对较新的成员，它是一种攻击，其中有人在所有者不知情的情况下使用设备来挖掘加密货币。人们需要知道这一点：加密采矿过程使用企业设备为他人谋取利益。它严重依赖移动技术来做到这一点，这意味着受影响的手机可能会缺乏电池寿命，甚至可能因过热而死亡。妥协了。虽然加密货币劫持起源于台式机，但移动设备的数量从2017年底到2018年初呈爆炸式增长。根据SkyboxSecurityOne的分析，不受欢迎的加密货币挖矿占2018年上半年所有网络攻击的三分之一。与上半年相比，这一时期增长了70%。根据Wandera的调查报告，2017年10月至2017年11月期间，针对移动设备的加密劫持攻击激增，当时受影响的移动设备数量猛增287%。从那以后，情况有所缓和，尤其是在移动设备领域，这一举措在很大程度上得到了苹果iOS应用商店和安卓相关GooglePlay商店分别于6月和2018年7月禁止加密货币挖矿的支持。应用。尽管如此，安全机构已经注意到，通过移动设备网站（或者甚至只是移动设备网站上的流氓广告）和从非官方第三方市场下载的应用程序，网络攻击仍然可以在一定程度上取得成功。分析师还注意到通过互联网连接的机顶盒进行加密劫持的可能性，一些企业可能会利用它来进行流媒体和视频播放。安全供应商Rapid7表示，黑客已经找到一种方法来利用一个明显的漏洞，该漏洞使得AndroidDebugBridge（一种仅供开发人员使用的命令行工具）易于访问，并允许此类产品被滥用。目前，除了谨慎选择移动设备并坚持用户只能从平台官方网站下载应用程序（那里大大降低了加密劫持代码的机会）的政策外，别无他法，事实上，没有迹象表明大多数公司正面临任何重大或直接的威胁，尤其是考虑到整个行业都采取了预防措施。也就是说，随着2019年的进展，鉴于过去几个月活动的波动和对该领域的兴趣不断增加，这令人担忧。6.密码保护意识不强人们可能认为现在已经有所防范，但由于某些原因，很多用户仍然没有做好自己的账户保护。当从他们携带的手机登录公司和个人账户时，这可能会面临严重的问题。最近的一项谷歌-哈里斯民意调查发现，根据调查样本，超过一半的美国人在多个账户中重复使用密码。同样令人担忧的是，几乎三分之一的人没有使用2FA密码（或者不知道他们是否使用2F密码，这可能更糟）。只有四分之一的人积极使用密码管理器，这表明绝大多数人可能在大多数地方都没有使用特别强的密码，因为他们可能自己设置和记住密码。此后情况变得更糟：根据LastPass2018年的一项调查分析，一半的专业人士在工作和个人帐户中使用相同的密码。分析发现，即使是一名员工在工作过程中也与同事分享了大约六个密码。Verizon2017年的一项调查发现，企业中超过80%的黑客相关违规行为是由于密码薄弱或被盗造成的。尤其是在移动设备上，业务人员希望快速登录各种应用程序、网站和服务，如果一个人不小心将他们用于业务帐户的相同密码输入到随机零售网站、聊天应用程序的提示中，或消息论坛密码也有数据泄露的风险。现在将该风险与上述Wi-Fi干扰风险相结合，乘以工作场所的员工总数，然后乘以可能暴露的点数，风险正在迅速成倍增加。也许最令人恼火的是，大多数人似乎完全没有注意到他们在这方面的疏忽。在谷歌和哈里斯民意调查中，69%的受访者给自己有效保护在线账户的评分为“A”或“B”，这显然不能相信他们自己的安全评级。7.物理设备的数据泄露最后但同样重要的是，这可能看起来特别愚蠢，但仍然是一个令人不安的真实威胁：丢失或无人看管的移动设备可能是一个重大的安全风险，尤其是如果它没有强大的PIN或密码和完整的数据加密。在PormonInstitute于2016年进行的一项研究中，35%的专业人士表示，他们的工作设备没有实施任何措施来保护可访问的公司数据。更糟糕的是，近一半的受访者表示他们的设备没有密码、PIN或生物识别技术保护，大约三分之二的人表示他们没有使用加密。68%的受访者表示，他们有时会在通过移动设备访问的个人和工作帐户之间共享密码。情况似乎并没有好转。在其2019年移动设备威胁态势分析中，43%的受访公司表示至少有一款智能手机没有任何类型的锁屏安全功能。调查报告指出，在那些为自己的设备设置密码的用户中，很多人通常会选择使用最短的4个字符的密码。将安全责任推给用户是不够的。企业和员工将从采用严格的安全政策和措施中受益匪浅。8.移动设备广告欺诈据美国互动广告局(IAB)称，移动设备广告产生了大量收入，仅2019年上半年就达到579亿美元。毫不奇怪，网络犯罪分子正在寻找通过移动广告收入流获利的方法。对广告欺诈损失的估计各不相同。据JuniperResearch称，到2023年，全球每年将因广告欺诈损失1000亿美元。广告欺诈可以采取多种形式，但最常见的是使用恶意软件点击看似来自使用合法应用程序或网站的合法用户的广告。例如，用户可能会下载提供合法服务（例如天气预报或消息传递）的应用程序。但是，在后台，该应用程序会对出现在该应用程序上的合法广告产生欺诈性点击。发布商通常会为他们所产生的广告点击付费，因此从企业广告预算中窃取资金的移动广告欺诈会显着降低发布商的收入。最大的受害者是移动广告商和广告支持的发布商，但广告欺诈也会伤害移动用户。与Fraudjacking一样，广告欺诈恶意软件在后台运行，会降低智能手机的性能，从而导致更高的数据费用或使手机电池过热。安全供应商Upstream估计，由于移动广告恶意软件带来的更高数据费用，智能手机用户每年可能损失数百美元。Android是迄今为止最流行的移动设备广告欺诈平台，人们应该避免使用这些最流行的Android恶意应用程序：SnaptubeGPSSpeedometerEasyScannerWeatherForecast：定期检查他们的应用程序并删除任何看起来可疑的应用程序。监控异常峰值的数据使用情况。仅安装来自GooglePlay的应用程序。安装前，请检查应用的评论、开发人员详细信息和请求的权限列表，以确保它们都适合应用的预期用途。
