iPhone 用戶注意!竊取「Face ID、銀行帳戶」木馬程式出現,4招防護措施快看
iPhone 用戶注意!竊取「Face ID、銀行帳戶」木馬程式出現,4招防護措施快看

網路安全公司Group-IB在近期指出,研究團隊發現全世界第一款收集受害者臉部辨識資料的木馬程式——GoldDigger,正在針對iPhone用戶發動攻擊,以竊取使用者的 銀行帳戶、電子支付資訊、身分證件 等個人資料。

Group-IB表示,由於懷疑GoldDigger將成為亞太地區日益嚴重的威脅,已立即向相關部門發出警報,保護客戶免受損害。

從Android攻擊到iOS系統!木馬程式GoldDigger恐怖在哪?

早在去年7月份,Group-IB就已經在部落格揭露GoldDigger的存在。犯罪組織GoldFactory最初以Android設備為目標,並且針對越南50多家金融機構的網路銀行、加密錢包進行攻擊;隨著惡意程式不斷繁衍進化,GoldDigger現在出現了iOS版本,攻擊範圍也延伸至越南、泰國以外的亞太地區。

GoldDigger木馬程式演變的時間軸。.jpg
GoldDigger木馬程式演變的時間軸。
圖/ 網路安全公司Group-IB

Group-IB的研究人員發現,GoldDigger的iOS版本能夠收集臉部辨識資料、身分證件並攔截手機簡訊(Android版本具備相同攻擊手法),駭客利用偷來的生物辨識數據,進一步採用AI驅動的深偽技術(Deepfake),未經授權就能夠成功存取受害者的銀行帳戶。Group-IB推測,這是新型態的貨幣盜竊技術。

與GoldDigger相關受害者可能已經出現。今年2月,有消息指出一位越南民眾完成應用程式(App)發起的請求驗證,其中包含臉部辨識掃描,結果遭竊取大約4萬美元的資金。Group-IB認為:「我們目前沒有任何證據表明GoldPickaxe(GoldDigger的變體)在越南也有散布,但根據新聞提到的『臉部掃描』,再加上GoldFactory在該地區活躍的事實,我們懷疑犯罪分子已經開始在越南使用GoldPickaxe,預計當地很快就會出現更多案例。」

有關GoldDigger的犯罪概況.jpg
有關GoldDigger的犯罪概況。
圖/ 網路安全公司Group-IB

木馬程式GoldDigger,是怎麼入侵你的手機的?

不過,駭客到底如何入侵受害者的手機?民眾有沒有預防方法?

Group-IB表示,網路犯罪份子通常會小心翼翼地刪除所有活動證據,導致整個感染鏈模糊不清。值得慶幸的是,資安人員正積極針對公開資訊、內部數據與調查結果進行全面徹查,現在已經成功重建感染鏈。

「我們非常有信心開發人員會說中文。」Group-IB指出,同時認為當地的網路犯罪分子很可能也參與其中,畢竟透過在地語言來進行詐騙,有利於與受害者之間建立信任感,「因此,我們假設GoldFactory可能會聘請精通泰語和越南語的操作員,甚至可能營運一個呼叫中心。」

Group-IB發現,GoldFactory犯罪分子主要結合「網路釣魚」技術發動攻擊。

舉例來說,在泰國,犯罪集團透過冒充政府當局身分,說服受害者使用當地最受歡迎的通訊軟體LINE互加好友並開始對話。在聊天過程中,犯罪分子會發送惡意連結,誘導民眾安裝某款號稱「數位退休金」的詐騙App,聲稱能夠以數位的方式領取退休金,或者假冒「泰國政府資訊入口網站」的App,實際在不知不覺中偷走所有機敏資料。

還有另一種詐騙情境:詐騙集團會廣撒電費退稅的詐騙簡訊,一旦收件人點開連結,就會被立刻導向LINE,並將犯罪分子添加為好友。接下來的詐騙手段就跟前者一致了,民眾乖乖遵循指示、安裝惡意應用程式,然後個資遭竊。

GoldFactory發送的詐騙簡訊.jpg
GoldFactory發送的詐騙簡訊。
圖/ Group-IB

理論上,蘋果公司擁有精心設計的資安系統,能夠有效防止犯罪集團在App Store任意傳播惡意軟體;但網路犯罪分子顯然找到應對策略,即利用蘋果的應用程式測試平台「TestFlight」散布惡意軟體,此平台不需要經過App Store的審核流程,而且上架成本更低,已經慢慢成為網路犯罪溫床。

果粉別擔心!資安防範策略一次看

好消息是Group-IB已經向蘋果公司告知GoldFactory的惡行,後者正積極擬訂防範措施,但民眾也應該學會自保,整理出4點資安防護措施供參考:

  1. iOS、Android用戶盡快將手機系統升級至最新版本

  2. 不要隨便點擊來路不明的網路鏈結

  3. 謹慎授權第三方App使用Face ID資料

  4. 不要安裝TestFlight上的應用程式,資安風險高。

延伸閱讀:「AI變臉」財務長,騙走跨國企業8億!瞞天過海關鍵是?

資料來源:Group-IB

責任編輯:林美欣

關鍵字: #iPhone #資訊安全
往下滑看下一篇文章
AI 智慧代理人時代來臨!三大導入階段, AI 落地企業不卡關
AI 智慧代理人時代來臨!三大導入階段, AI 落地企業不卡關

生成式 AI 帶動企業數位轉型浪潮持續升溫,各界不再滿足單一任務型的 AI 應用,而是期盼 AI 能真正成為具備主動決策與多工能力的「智慧代理人」(Agentic AI),在最少人為干預的情況下,自主推進工作流程、完成複雜任務。

但企業導入AI並非一蹴可幾,而是需要對AI有正確認識,並制訂循序漸進的導入流程,才能真正發揮AI功效。在2025台灣人工智慧年會中,cacaFly 聖洋科技技術副總吳振和提出三大導入關鍵階段,深入剖析企業如何從概念驗證(PoC)階段,逐步推進到實際上線(Production),並分享實務經驗與觀察。

延伸閱讀:生成式AI可以怎麼用?cacaFly現身說法,助企業應用GCP服務智慧轉型

解鎖 Agentic AI,企業邁向多任務智慧代理

「很多公司會問,One AI 要做什麼事?但實際上,若要讓 AI 回答公司內部政策或新法條的相關問題,僅靠基礎模型並不足夠。」吳振和指出,要讓 AI 真正成為能「做事」的智慧代理人,前提是它必須理解企業內部的脈絡與知識,並即時掌握外部變動的資訊。

企業必須先釐清內部規範是否與最新法規相符,這意味著系統必須具備持續爬取與解析最新資料的能力。為此,企業必須先截取與整理內容,再建構成專屬的知識庫(Knowledge Base),確保資料品質達到可用標準後,再透過檢索增強生成(Retrieval-Augmented Generation, RAG)技術,使 AI 能夠即時動態查詢並生成符合企業語境的回答。

延伸閱讀:從資料清洗到 RAG,大型語言模型的必需品,做出專屬企業的 AI 知識庫!

吳振和強調,這是一個動態循環的過程:從資料蒐集、品質控管、知識庫建構到生成應用,每一環節都息息相關,任何一處鬆動都會影響最終產出的準確性與可信度。

cacaFly 聖洋科技技術副總吳振和
圖/ cacaFly

破除「一次到位」迷思,從驗證到落地的三大關鍵階段

許多企業對 AI 寄予厚望,因此常將 PoC 視為年度計畫的重點,希望能「一次到位」做出具體成果。但吳振和提醒,若缺乏清楚的系統工程思維,PoC 容易淪為「概念展示」,難以真正走入組織的日常營運。

他將導入 Agentic 系統工程的歷程,分為三個關鍵階段:

1.第一階段:可行性評估(Feasibility Study)
企業必須在投入資源前,先明確界定「最需要被 AI 解決的關鍵問題」是什麼,並進一步設計可量化的驗證指標。這不僅包括評估技術實作的可行性,更要從商業目標出發,釐清導入 AI 的具體使用情境、預期成效與風險邊界,如此才能確保後續模型選型與資料蒐集方向正確對齊業務需求。

2.第二階段:系統設計與驗證(Design & PoC)
在確定導入方向後,必須規劃清楚資料蒐集與整理流程,確保知識庫的內容具備正確性、完整性與時效性。吳振和特別強調,這個階段不能只追求展示效果,而應以「產品化思維」來構築 PoC,使其具備可擴充性、可維護性及安全性,才能為後續上線打下基礎。

3.第三階段:產品化與營運(Production & Operation)
當 PoC 驗證完成後,進入正式上線階段,挑戰也隨之而來。除了需要整合企業內部系統與流程,還必須建立持續監控與維運機制,確保模型表現隨時間演進不會劣化,並能快速回應法規變動或資料更新的需求。吳振和指出,這往往是最容易被低估、但也是最考驗企業組織能力的關鍵環節。

cacaFly 聖洋科技技術副總吳振和
圖/ cacaFly

建立模型優化根基,打造高品質的黃金資料集

吳振和特別強調,要讓 Agentic 系統工程真正發揮效益,企業必須先建立一套高品質的「黃金資料集」(Golden Dataset),作為模型評估與優化根基。他指出,黃金資料集的價值在於能為模型選擇與前測提供客觀依據,讓團隊能針對不同任務挑選最適合的模型,避免導入初期就誤踩方向。

同時,黃金資料集也能協助團隊辨識模型的常見錯誤與脆弱點,進而快速回應「模型飄移」(Model Drift)的風險。吳振和說明,所謂模型飄移,指的是即使模型本身未經改版,效能也可能隨著環境與資料變動而突然下降,導致原本表現良好的模型出現偏差。透過持續比對模型預測與黃金資料集結果,團隊才能即時察覺效能衰退,並進行迭代更新,確保系統長期穩定運作。

從小規模應用起步,漸進擴展至核心業務

吳振和分享,在實際輔導企業導入 AI 的經驗中,最常見的挑戰來自於「期待落差」。許多企業誤認為概念驗證(PoC)階段即可呈現完整的產品原型,然而實際情況顯示,若企業未能建立完善的資料架構與流程基礎設施,即使短期內展現亮眼成效,也難以確保長期營運的穩定性與可持續性。

也因此他建議企業在規劃 AI 導入時,應採取漸進式策略,從小規模應用場景著手,逐步擴展至核心業務領域。企業應將 PoC 定位為整體產品開發生命週期的重要環節,而非獨立的一次性專案。

AI 的導入不僅是一場技術升級,更是企業組織文化與決策流程的轉型工程。唯有從資料治理、流程優化到人才培訓同步布局,才能確保 AI 能在企業內部真正「落地生根」,創造長期商業價值,成為真正的智慧代理人。

登入數位時代會員

開啟專屬自己的主題內容,

每日推播重點文章

閱讀會員專屬文章

請先登入數位時代會員

看更多獨享內容

請先登入數位時代會員

開啟收藏文章功能,

請先登入數位時代會員

開啟訂閱文章分類功能,

請先登入數位時代會員

我還不是會員, 註冊去!
追蹤我們
一次搞懂Vibe Coding
© 2025 Business Next Media Corp. All Rights Reserved. 本網站內容未經允許,不得轉載。
106 台北市大安區光復南路102號9樓