Pokemon Go （口袋妖怪 Go）在全球引發(fā)了一場抓捕小精靈的熱潮，盡管只在部分地區(qū)發(fā)布，但這款游戲卻在不到一周的時間內(nèi)獲得了超過百萬次的安裝量。Pokemon Go的火爆現(xiàn)象同時也吸引了網(wǎng)絡(luò)罪犯的注意。

賽門鐵克安全團(tuán)隊已經(jīng)發(fā)現(xiàn)了針對該游戲的社交媒體騙局和木馬版本。不僅如此，由于官方版本要求用戶開放相關(guān)權(quán)限，隱私和數(shù)據(jù)安全問題也受到了公眾的關(guān)注。

在奮力抓捕口袋妖怪的同時，賽門鐵克安全團(tuán)隊希望提示玩家注意以下網(wǎng)絡(luò)威脅，保護(hù)設(shè)備和自身安全。

免費(fèi) PokeCoin 騙局

在Pokemon Go中，玩家可以在應(yīng)用內(nèi)購買被稱為 PokeCoin 的虛擬貨幣，并用來購買游戲中的道具，例如引誘口袋妖怪的熏香，或孵化稀有口袋妖怪的蛋。一些玩家希望繞過應(yīng)用內(nèi)的購買機(jī)制，嘗試在網(wǎng)絡(luò)上搜索打折或免費(fèi)的PokeCoin。不幸的是，網(wǎng)絡(luò)詐騙罪犯已經(jīng)盯上這樣的玩家。

如果玩家搜索"Pokemon Go免費(fèi)幣生成器"，就會找到典型的調(diào)查騙局的鏈接。詐騙罪犯主要通過在社交媒體網(wǎng)站上發(fā)帖，或者發(fā)布所謂的能夠證明PokeCoin 黑客工具有效的視頻來實(shí)施詐騙。

圖1.詐騙網(wǎng)站要求用戶點(diǎn)擊確認(rèn)身份，才可以訪問實(shí)際并不存在的PokeCoin黑客工具

在進(jìn)入詐騙網(wǎng)站后，用戶會被要求提供他們的Pokemon Go用戶名和希望獲得的游戲幣數(shù)量。到目前為止，我們尚未發(fā)現(xiàn)要求用戶提供Pokemon Go密碼的騙局。雖然一些詐騙網(wǎng)站聲稱具有更多功能，但一般情況下，網(wǎng)站會在播放一段視頻后要求用戶進(jìn)行"身份驗(yàn)證"。

這個驗(yàn)證流程會要求用戶填寫調(diào)查表、安裝應(yīng)用或注冊服務(wù)。但現(xiàn)實(shí)是，即便用戶按照說明進(jìn)行操作，也得不到免費(fèi)的 PokeCoin。而詐騙分子會因?yàn)橛脩酎c(diǎn)擊參與的加盟聯(lián)網(wǎng)計劃而獲利。根據(jù)詐騙短網(wǎng)址的統(tǒng)計顯示，每個這樣的鏈接都被上千個用戶點(diǎn)擊過。

圖2.PokeCoin騙局要求用戶進(jìn)行身份驗(yàn)證

有些騙局要求用戶在社交媒體上（Twitter或Facebook）手動分享信息來獲取免費(fèi)的 PokeCoin。需要了解的是，無論用戶分享多少次，他們都不會收到任何免費(fèi)的 PokeCoin。賽門鐵克安全團(tuán)隊已經(jīng)在社交媒體網(wǎng)站上發(fā)現(xiàn)了數(shù)百條這類包含各種網(wǎng)址的消息。

賽門鐵克在2016年互聯(lián)網(wǎng)安全威脅報告中指出，在2015 年，類似的手動分享騙局在所有社交媒體詐騙事件中占比 76%。

發(fā)現(xiàn)Pokemon Go 木馬版本應(yīng)用

在Pokemon Go發(fā)布首周，該應(yīng)用只在美國、澳大利亞和新西蘭上市。由于沒有正式登陸大多數(shù)地區(qū)和國家，這促使Android設(shè)備或越獄版iPhone用戶尋找非官方渠道來下載該游戲。

網(wǎng)絡(luò)罪犯也抓住了用戶的心理和需求，針對Android設(shè)備創(chuàng)建了木馬版本。賽門鐵克已經(jīng)發(fā)現(xiàn)，惡意軟件開發(fā)者將遠(yuǎn)程訪問木馬 （Android.Sandorat） 偽裝成Pokemon Go 應(yīng)用，發(fā)布在多個下載網(wǎng)站和游戲論壇。當(dāng)安裝木馬版本后，雖然玩家看到的是Pokemon Go的開始界面，并看起來沒有異樣，但是攻擊者已經(jīng)獲得了用戶手機(jī)的完全訪問權(quán)限。

Pokemon Go 作弊工具

Pokemon Go玩家被發(fā)現(xiàn)嘗試在游戲中作弊，希望不在戶外走動就能夠抓住或孵出更多口袋妖怪。一些玩家想出了不少"創(chuàng)意"招數(shù)，例如，將手機(jī)粘貼在玩具火車、吊扇、寵物犬或無人機(jī)上，讓應(yīng)用誤以為他們在移動。

還有一些玩家在root的Android設(shè)備或越獄版iPhone上安裝可以假冒GPS位置的應(yīng)用，讓Pokemon Go誤以為用戶在移動，從而獲得稀有口袋妖怪。盡管我們還沒有發(fā)現(xiàn)攻擊者將惡意軟件偽裝成GPS位置假冒程序，但隨著Pokemon Go用戶群的增長，這種情況將會發(fā)生。

訪問權(quán)限和隱私風(fēng)險

不久前，安全人員意識到游戲制造商N(yùn)iantic要求用戶給予各種權(quán)限，包括完全訪問用戶的Google賬戶，這讓Niantic在安全問題方面成為眾矢之的。Niantic公司表示，游戲只會訪問用戶的基本賬戶信息，并隨后發(fā)布了僅要求少數(shù)權(quán)限的應(yīng)用更新版本。

即使在更新后，Pokemon Go仍然會生成大量的數(shù)據(jù)，例如位置信息和用戶移動模式等，如游戲隱私策略中提出。不僅如此，當(dāng)用戶使用Pokemon Go Plus配套藍(lán)牙LE可穿戴設(shè)備時，被收集的用戶數(shù)據(jù)可能會進(jìn)一步增加。賽門鐵克安全團(tuán)隊的研究發(fā)現(xiàn)，部分藍(lán)牙LE設(shè)備會出現(xiàn)被跟蹤或泄露數(shù)據(jù)的風(fēng)險。由于Pokemon Go Plus尚未推出，現(xiàn)在我們還無法確定該設(shè)備是否會面臨相同的風(fēng)險。

現(xiàn)實(shí)生活中的安全風(fēng)險

Pokemon Go的最大亮點(diǎn)之一在于鼓勵玩家探索戶外環(huán)境，然而我們也看到一些關(guān)于該游戲引發(fā)危險事件的報道，例如有些玩家因?yàn)闆]有注意路面而受傷等。此外，由于Pokemon Go游戲場景中包括Pokéstops，能夠吸引眾多用戶前往該地點(diǎn)，這也給犯罪分子帶來了可乘之機(jī)。犯罪分子能夠使用引誘功能（Lures）將目標(biāo)受害者引誘到特定位置，從而實(shí)施犯罪。我們建議玩家在享受游戲的同時注意周圍環(huán)境，避免獨(dú)自前往偏僻或光線昏暗的地區(qū)。

賽門鐵克安全小貼士：

為了更輕松更安全地享受游戲帶來的樂趣，賽門鐵克建議用戶采取以下建議：

• "不要從非官方市場下載Pokemon Go - 網(wǎng)絡(luò)攻擊者通常使用這些站點(diǎn)將惡意軟件偽裝成合法應(yīng)用；
• "安裝更新版Pokemon Go -更新后的Pokemon Go不會請求完全訪問 Google 賬戶；
• "遠(yuǎn)離游戲作弊工具 - 這類工具很有可能具有欺詐性或包含惡意軟件；
• "及時更新智能手機(jī)的固件，防止漏洞被利用；
• "為Pokemon Go賬戶設(shè)置安全性強(qiáng)的唯一密碼；
• "密切注意應(yīng)用所請求的權(quán)限；
• "安裝一款合適的移動安全應(yīng)用，比如諾頓，保護(hù)設(shè)備和數(shù)據(jù)安全。

在復(fù)雜多變的網(wǎng)絡(luò)空間中，我們將會時常面臨各種未知的網(wǎng)絡(luò)威脅，但這不意味著用戶應(yīng)該遠(yuǎn)離新的科技和新鮮事物。當(dāng)用戶了解所可能面臨的風(fēng)險并擁有一定的防范意識，那么GO，抓捕更多口袋妖怪吧。

原文發(fā)布時間為：2016年7月18日

本文來自云棲社區(qū)合作伙伴至頂網(wǎng)，了解相關(guān)信息可以關(guān)注至頂網(wǎng)。

總結(jié)

以上是生活随笔為你收集整理的Pokemon Go玩家或成为下一个网络攻击对象 赛门铁克揭示潜在安全威胁的全部內(nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯，歡迎將生活随笔推薦給好友。