电子商务安全

2004年7月发现的某假公司网站（网址为 ），而真正网站为 ，诈骗者利用了小写 字母l和数字1很相近的障眼法。诈骗者通过QQ 散布“XX集团和XX公司联合赠送QQ币”的虚假 消息，引诱用户访问。一旦访问该网站，首先 生成一个弹出窗口，上面显示“免费赠送QQ币 ”的虚假消息。而就在该弹出窗口出现的同时 ，恶意网站主页面在后台即通过多种IE漏洞下 载病毒程序lenovo.ex，并在2秒钟后自动转向 到真正网站主页，用户在毫无觉察中就感染了 病毒。病毒程序执行后，将下载该网站上的另 一个病毒程序bbs5.exe，用来窃取用户的传奇 帐号、密码和游戏装备。当用户通过QQ聊天时 ，还会自动发送包含恶意网址的消息。
• 1月18号，集齐38个赞的陈女士前往影楼预约拍照，但影楼的一名员 工跟她说，需要等1月20号之后才可以预约，而且要交300元的押金， 押金将在拍照后退还。陈女士质疑为什么要交押金，对方说，影楼担 心活动推出之后一些参与者光拍照不取片，照片积压不好处理，所以 要收取押金，等领完照片后马上退还，陈女士没有犹豫交了押金。
第七章 电子商务安全
引例 • 一、如何避免网络钓鱼攻击获取客户信息 • 根据英国的一互联网监测公司Netcraft声称， 2006年3月12日，中国一家银行的服务器被网 络骗子用做网络钓鱼（phishing）网站的主机， 以复制美国一些银行和网络零售商的顾客资料。 这是银行网络首次被犯罪分子用来偷取另一银 行顾客资料的攻击事件。攻击中发出的电子邮 件是伪装成摩根大通网上银行的调查，邮件中 谎称用户只要填写账号和个人信息后，会收到 20美元的辛苦费。那么什么是网络钓鱼攻击？ 如何识别垃圾邮件及假冒邮件？在发送和接收 邮件时应该注意什么？
（一）个人电脑面临的威胁
3、用户在浏览网页时，被恶意程序进行攻击；
案例：“拒绝服务”
• 2000年2月8日到10日，一伙神通广大的神秘黑客在三天 的时间里接连袭击了互联网上包括雅虎、美国有线新闻 等在内的五个最热门的网站，并且造成这些网站瘫痪长 达数个小时。 • 在雅虎网站上，黑客使用了一种名为“拒绝服务”的入 侵方式，在不同的计算机上同时用连续不断的服务器电 子请求来轰炸雅虎网站。这种方式类似于某人通过不停 拨打某个公司的电话来阻止其他电话打进，从而导致公 司通信瘫痪。在袭击进行最高峰的时候，网站平均每秒 钟要遭受一千兆字节数据的猛烈攻击，这一数据量相当 于普通网站一年的数据量! 面对如此猛烈的攻击，雅虎 的技术人员却束手无策，只能眼睁睁地看着泛滥成灾的 电子邮件垃圾死死地堵住了雅虎用户们上网所需的路由 器。
案例二：诚招网络兼职，帮助网上商城 卖家刷信誉，可从中赚取佣金
• 2015年10月10日，刚从大学毕业的小龚在微博上看到一 条兼职信息，要求很简单，只要会上网即可，条件却很诱 人，时间可以自由安排，一天有200~500元的收益。一心 想着赚点外快的小龚，试着加了微博上发的QQ。客服很 快发了工作流程表和项目申请表过来，小龚按要求填写了 表格，并给对方发了过去。 • 这份兼职的工作是网上商城刷信誉，就是兼职人员通过客 服发送的指定链接，按照要求在商城购买商品，付款之后， 商城并不会真的把货物发出，而是将货款跟佣金返还给兼 职人员。练手时，小龚在网上商城拍了一只包，支付120 元，很快自己银行卡里就收到了125元钱。轻轻松松，小 龚赚了5元钱。
• 由于攻击者可以接入网络，则可能对网络 中的信息进行修改，掌握网上的机要信息， 甚至可以潜入网络内部，其后果是非常严 重的。
（三）电子商务中防诈骗意识薄 弱的威胁
案例一:朋友圈的集赞你参加过吗？
案例一：微信集赞诈骗
• 2016年1月，浙江苍南的陈女士朋友圈被当地一家影楼的集赞活动刷 屏了。消息说，转发影楼活动到朋友圈，集38个赞就能免费拍照，并 领取一台多功能料理机，陈女士从朋友处获悉，这家影楼已经经营三 四年，而且有多人领到多功能料理机，于是陈女士也加入了集赞大军。
• 据乌云漏洞平台2015年10月报告，安卓手 机软件（APP)存在一个“WormHole(虫洞）” 的安全漏洞。只要安卓设备连接网络，无 论是否刷机成为超级用户（root),黑客都能 对设备实现远程操控，安装指定应用。同 时，还可上传隐私短信和照片，弹出对话 框显示广告或钓鱼链接。
苹果系统案例
• 2015年8月乌云漏洞平台披露，国内一些 ios应用/插件开发团队在盗取越狱用户的苹 果云服务（iCloud)账号与明文密码，并记 录在远程服务器。据了解，当时已有超过 22万云服务账号密码等信息被多款内置后 门iOS插件窃取，是越狱iPhone手机真实窃 密案例。经验证，这些被盗的云服务账号 可以随意登录，各种邮件和照片等信息全 部泄露。
（二）网络安全的威胁
1. 黑客攻击 2. 搭线窃听 3. 伪装身份 4. 信息泄密、篡改、销毁 5. 间谍软件袭击 6. 网络钓鱼
案例一：
中国最小黑客：
• 新闻晨报：2014中国互联网安全大会，12 岁熊孩子汪正扬，成了中国最小的黑客。 还在清华附中读初一的他：为了不做作业， 入侵了学校的在线答题系统；他利用黑客 “抓包技术”，花1分钱买了2500元的东 西…除了这些糗事，他还修复计算机漏洞 100多个。 • 这位年仅12岁的漏洞报告者是来自清华附 中初一年级的汪正扬同学。他是北京市公 安局、教委实施"网安启明星工程"校本课的 小学员之一。
（一）个人电脑面临的威胁
1、被他人盗取用户密码、信用卡账号等；
案例
郭浩，1986年出生，是黑龙江某大 学计算机专业的大学生;孙木云，1989年出 《大学生用黑客病毒网上盗款48万》 生，当时在上海某个网吧做网管。2006年 12月，郭浩在大学生宿舍内，通过“灰鸽子” 病毒软件发现了身在北京的张先生的电脑中 了“灰鸽子”病毒。郭浩便通过“灰鸽子” 病毒远程监控系统，监控该电脑。在张先生 张先生是一家私营企业主，一 上网进行网络银行卡操作时，郭浩获知了张 直使用网上银行进行资金管理。 先生的银行卡账号、密码，而后通过远程监 2006年12月22日，当张先生查询自 控下载了受害人银行卡的电子证书。2006年 己的银行账户时，突然发现两张银 12月17日，郭浩联络在山东的孙木云，要求 行卡内的48万余元已被划走，焦急 其帮助将钱转出。随后，两人连夜将张先生 万分的张先生立即到公安机关报警。 两张银行卡内的48万余元分40余笔转出，打 入位于广州、上海和北京的出售游戏点卡的 民警接到报案后，经过各地警方缜 公司，并将点卡存入虚拟的网络账户。 密侦查，利用先进网络技术手段，
电子商务的安全目标
电子商务安全技术
电子商务的安全管理
电子商务的安全问题主要体现在：
• • 首先是一个复杂的管理问题 其次是一个技术安全问题
第一节 电子商务的安全内涵
• 一、电子商务面临的威胁 • 二、电子商务安全的目标
一、电子商务面临的威胁
（一）个人电脑面临的威胁
• • • • • 被他人盗取用户密码、信用卡账号等； 计算机系统被木马攻击； 用户在浏览网页时，被恶意程序进行攻击； 个人计算机受计算机病毒感染； 黑客利用系统本身存在的漏洞攻击他人。
• 雅虎网站遭袭后第二天，尽管世界各著名网 站已经高度警惕，但还是再次遭到这些神秘 黑客的袭击。世界最著名的网络拍卖行eBay 因神秘黑客袭击而瘫痪了整整两个小时，以 致任何的用户都无法登录该站点；赫赫有名 的美国有线新闻网 CNN随后也因遭神秘黑客 的袭击而瘫痪近两个小时；风头最劲的购物 网站也被迫关闭一个多小时!
流氓软件类别
间谍软件、行为纪录软件、浏览器劫持 软件、搜索引擎劫持软件、广告软件、 自动拨号软件、盗窃密码软件等。
它具有如下特点：
强制安装 难以卸载 浏览器劫持 广告弹出 恶意收集用户信息 恶意卸载 恶意捆绑 恶意安装
（一）个人电脑面临的威胁
6、黑客利用系统本身存在的漏洞攻击他人。
安卓系统案例：
特洛伊木马(Trojan Horse)
特洛伊木马 (或简称Trojan) 是一种计算机 程序，伪装成某种有用的或有趣的程序，比如 屏幕保护程序、算命程序、计算机游戏等，但 是实际上却包藏祸心，暗地里做坏事;它可以 破坏数据、骗取使用者的密码等等。一般特洛 伊木马不会自我复制，也不会主动散播到别的 计算机里面。
于2007年将犯罪嫌疑人孙木云、郭 浩抓获归案。
张先生的48万余元就这样一夜之间蒸 发了。
（一）个人电脑面临的威胁
2.计算机系统被木马攻击；
“木马产业链”
• 最近两年来，随着“网上大盗”数量的不断增多，“木马产业链” 这一黑色产业也在不断壮大和分工。目前已经发展为包括木马制 造、木马传播、密码窃取、洗钱等环节在内完整产业链形态。
二、如何预防病毒的 危害 2006年12月初，我 国互联网上大规模爆 发“熊猫烧香”病毒 及其变种。一只憨态 可掬、颔首敬香的 “熊猫”在互联网上 疯狂“作案”。卡通 化外表的病毒，隐藏 着巨大的传染力，短 短几个月，“熊猫烧 香”病毒给成千上万 个人用户、网吧及企 业局域网用户，造成 直接和间接损失超过 1亿元。如何预防计 算机病毒和网络病毒 呢？
（2）信息的篡改。
• 当攻击者熟悉了网络信息格式以后，通过 各种技术方法和手段对网络传输的信息进 行中途修改，并发往目的地，从而破坏信 息的完整性。 • 篡改、删除、插入
（3）信息假冒。
• 当攻击者户或发 送假冒信息来欺骗其他用户。
（4）恶意破坏。
案例二：网络钓鱼攻击
• 2005年2月份发现的一种骗取美邦银行（Smith Barney）用户的帐号和密码的“网络钓鱼”电子邮 件，该邮件利用了IE的图片映射地址欺骗漏洞，并 精心设计脚本程序，用一个显示假地址的弹出窗口 遮挡住了IE浏览器的地址栏，使用户无法看到此网 站的真实地址。当用户使用未打补丁的Outlook打 开此邮件时，状态栏显示的链接是虚假的。当用户 点击链接时，实际连接的是钓鱼网站 http://**.41.155.60:87/s。该网站页面酷似 Smith Barney银行网站的登陆界面，而用户一旦输 入了自己的帐号密码，这些信息就会被黑客窃取。