如何避免中間人攻擊（MITM）

首先搞明白到底什麼是中間人攻擊（MITM），才能避免成為此類高科技竊聽的受害者。

當你使用電腦傳送資料或與某人線上通話的時候，你一定採取了某種程度的安全隱私手段。

但如果有第三方在你不知情的情況下竊聽，甚至冒充某個你信任的商業夥伴竊取破壞性的資訊呢？你的私人資料就這樣被放在了危險分子的手中。

這就是臭名昭著的中間人攻擊man-in-the-middle（MITM）。

到底什麼是中間人攻擊？

駭客潛入到你與受害者或是某個裝置間的通訊過程中，竊取敏感資訊（多數是身份資訊）進而從事各種違法行為的過程，就是一次中間人攻擊。Scamicide 公司創始人 Steve J. J. Weisman 介紹說：

“中間人攻擊也可以發生在受害者與某個合法 app 或網頁中間。當受害者以為自己面對的是正常 app 或網頁時，其實 Ta 正在與一個仿冒的 app 或網頁互動，將自己的敏感資訊透露給了不法分子。”

中間人攻擊誕生於 1980 年代，是最古老的網路攻擊形式之一。但它卻更為常見。Weisman 解釋道，發生中間人攻擊的場景有很多種：

• 攻陷一個未有效加密的 WiFi 路由器：該場景多見於人們使用公共 WiFi 的時候。“雖然家用路由器也很脆弱，但駭客攻擊公共 WiFi 網路的情況更為常見。”Weisman 說，“駭客的目標就是從毫無戒心的人們那裡竊取線上銀行賬戶這樣的敏感資訊。”
• 攻陷銀行、金融顧問等機構的電子郵件賬戶：“一旦駭客攻陷了這些電子郵件系統，他們就會冒充銀行或此類公司給受害者發郵件”，Weisman 說，”他們以緊急情況的名義索要個人資訊，諸如使用者名稱和密碼。受害者很容易被誘騙交出這些資訊。”
• 傳送釣魚郵件：竊賊們還可能冒充成與受害者有合作關係的公司，向其索要個人資訊。“在多個案例中，釣魚郵件會引導受害者存取一個偽造的網頁，這個偽造的網頁看起來就和受害者常常存取的合法公司網頁一模一樣。”Weisman 說道。
• 在合法網頁中嵌入惡意程式碼：攻擊者還會把惡意程式碼（通常是 JavaScript）嵌入到一個合法的網頁中。“當受害者載入這個合法網頁時，惡意程式碼首先按兵不動，直到使用者輸入賬戶登入或是信用卡資訊時，惡意程式碼就會複製這些資訊並將其傳送至攻擊者的伺服器。”網路安全專家 Nicholas McBride 介紹說。

有哪些中間人攻擊的著名案例？

聯想作為主流的計算機製造廠商，在 2014 到 2015 年售賣的消費級筆記型電腦中預裝了一款叫做 VisualDiscovery 的軟體，攔截使用者的網頁瀏覽行為。當使用者的滑鼠在某個產品頁面經過時，這款軟體就會彈出一個來自合作夥伴的類似產品的廣告。

這起中間人攻擊事件的關鍵在於：VisualDiscovery 擁有存取使用者所有私人資料的許可權，包括身份證號、金融交易資訊、醫療資訊、登入名和密碼等等。所有這些存取行為都是在使用者不知情和未獲得授權的情況下進行的。聯邦交易委員會（FTC）認定此次事件為欺詐與不公平競爭。2019 年，聯想同意為此支付 8300 萬美元的集體訴訟罰款。

我如何才能避免遭受中間人攻擊？

• 避免使用公共 WiFi：Weisman 建議，從來都不要使用公開的 WiFi 進行金融交易，除非你安裝了可靠的 VPN 用戶端並連線至可信任的 VPN 伺服器。通過 VPN 連線，你的通訊是加密的，資訊也就不會失竊。

• 時刻注意：對要求你更新密碼或是提供使用者名稱等私人資訊的郵件或文字訊息要時刻保持警惕。這些手段很可能被用來竊取你的身份資訊。

  如果不確定收到的郵件來自於確切哪一方，你可以使用諸如電話反查或是郵件反查等工具。通過電話反查，你可以找出未知發件人的更多身份資訊。通過郵件反查，你可以嘗試確定誰給你發來了這條訊息。

  通常來講，如果發現某些方面確實有問題，你可以聽從公司中某個你認識或是信任的人的意見。或者，你也可以去你的銀行、學校或其他某個組織，當面尋求他們的幫助。總之，重要的賬戶資訊絕對不要透露給不認識的“技術人員”。

• 不要點選郵件中的連結：如果有人給你發了一封郵件，說你需要登入某個賬戶，不要點選郵件中的連結。相反，要通過平常習慣的方式自行去存取，並留意是否有告警資訊。如果在賬戶設定中沒有看到告警資訊，給客服打電話的時候也不要聯絡郵件中留的電話，而是聯絡站點頁面中的聯絡人資訊。

• 安裝可靠的安全軟體：如果你使用的是 Windows 作業系統，安裝開源的防毒軟體，如 ClamAV。如果使用的是其他平台，要保持你的軟體安裝有最新的安全修補程式。

• 認真對待告警資訊：如果你正在存取的頁面以 HTTPS 開頭，瀏覽器可能會出現一則告警資訊。例如，站點證書的域名與你嘗試存取的站點域名不相匹配。千萬不要忽視此類告警資訊。聽從告警建議，迅速關掉頁面。確認域名沒有輸入錯誤的情況下，如果情況依舊，要立刻聯絡站點所有者。

• 使用廣告遮蔽軟體：彈窗廣告（也叫廣告軟體攻擊）可被用於竊取個人資訊，因此你還可以使用廣告遮蔽類軟體。對個人使用者來說，中間人攻擊其實是很難防範的，因為它被設計出來的時候，就是為了讓受害者始終蒙在鼓裡，意識不到任何異常。有一款不錯的開源廣告遮蔽軟體叫 uBlock origin。可以同時支援 Firefox 和 Chromium（以及所有基於 Chromium 的瀏覽器，例如 Chrome、Brave、Vivaldi、Edge 等），甚至還支援 Safari。

保持警惕

要時刻記住，你並不需要立刻就點選某些連結，你也並不需要聽從某個陌生人的建議，無論這些資訊看起來有多麼緊急。網際網路始終都在。你大可以先離開電腦，去證實一下這些人的真實身份，看看這些“無比緊急”的頁面到底是真是假。

儘管任何人都可能遭遇中間人攻擊，只要弄明白何為中間人攻擊，理解中間人攻擊如何發生，並採取有效的防範措施，就可以保護自己避免成為其受害者。