2024 年展望：運行在防火牆外的應用程式面臨的安全威脅 Application Security 威脅報告

引言

如今，應用程式已成為我們日常生活不可或缺的一部分。蘋果應用商店擁有近2萬個應用程序，谷歌應用商店擁有近3萬個應用程序，其種類之多、數量之龐大令人嘆為觀止。光是2023年，用戶就下載了驚人的148.2億次行動、桌面和網頁應用程式。每天，數以千計的新應用程式湧現，滿足著我們各種各樣的需求和願望，從銀行業務到遊戲娛樂再到醫療保健，無所不包。

但高人氣也伴隨著高風險。大多數此類應用程式都在企業防火牆之外運行，這使它們成為網路犯罪分子的目標。網路安全情勢瞬息萬變，目前已知的惡意軟體程式超過十億，每天還會偵測到560,000萬個新的惡意軟體。儘管如此，人們的關注點仍然主要集中在企業防火牆內部的威脅上，這使得應用程式使用者和開發者對應用程式在實際環境中面臨的風險一無所知。

2024 年應用安全狀況

我們最近 Application Security 威脅報告 本報告揭示了2024年應用程式面臨的不斷演變的威脅。透過分析2024年2月收集的為期四週的匿名全球客戶數據，我們量化了風險並識別了關鍵趨勢。如果您想了解您的應用程式面臨的風險有多大，請參考以下數據：2023年，57%的應用程式在四周內遭受攻擊。而今年，這一數字已上升至65%。

為什麼增加？

導致威脅等級上升的因素有很多：

• 工具民主化： 網路犯罪分子現在更容易取得諸如用於逆向工程的 Ghidra 和用於動態檢測的 Frida 等複雜工具。這些工具簡化了檢查應用程式和建立惡意軟體的過程。
• 加密貨幣復興： 加密貨幣正在捲土重來，為網路犯罪分子提供了一種便捷的途徑，讓他們能夠透過攻擊（尤其是勒索軟體攻擊）獲利。
• 國家支持的襲擊： 國家資源參與網路攻擊，為威脅行為者提供了強大的能力。
• 越獄： 儘管蘋果公司做出了努力，但駭客仍在不斷尋找破解 iOS 系統的方法，造成安全漏洞。
• 人工智慧/機器學習激增： 使用 人工智能和機器學習 人工智慧正在提升開發者和網路犯罪分子的效率。它能幫助開發者更快地創建更多應用程序，從而擴大攻擊面；同時，它也使網路犯罪分子能夠更快地分析應用程式程式碼，並更有效率地開發和部署惡意軟體。

人工智慧：一把雙面刃

人工智慧正在改變科技世界，帶來許多益處的同時，也帶來了新的風險。麥肯錫的一項研究發現，生成式人工智慧可以將開發速度提高 10% 到 30%。這意味著應用程式和惡意軟體的創建、測試和部署速度都將更快。

威脅行為者正在利用人工智慧進行以下活動：

• 分析反編譯程式碼： 人工智慧工具可以幫助他們更快地發現威脅行為者並利用其攻擊後端伺服器的路徑。
• 在更短的時間內對更多應用程式發動更多攻擊： ChatGPT4 等人工智慧驅動的自動化工具可以幫助威脅行為者以前所未有的速度編寫惡意軟體並將其插入應用程式。

特定產業的風險

不同產業面臨獨特的威脅：

• 遊戲應用： 不出所料，遊戲應用是網路犯罪分子重點攻擊的目標。出售遊戲作弊軟體、竊取遊戲內購的信用卡信息，以及在複雜的遊戲經濟系統中進行洗錢活動，都使得遊戲應用成為網路犯罪分子牟利的溫床。
• 金融服務（FinServ）應用： 雖然這些應用程式與金錢直接相關，但它們也成為了攻擊目標。然而，遊戲應用和金融服務應用之間的威脅差距已經擴大，部分原因是遊戲產業的快速成長。
• 醫療保健和汽車應用： 從與手機應用程式連接的醫療設備到藍牙連接的汽車應用程序，這些行業都面臨著日常使用的應用程式和設備所面臨的重大風險。

iOS 與 Android：消除誤解 Safe神話

Android 和 iOS 平台的開放程度不同，兩者都容易受到多種威脅。 2024 年，兩個平台的攻擊率均有所上升，其中 Android 平台遭受的攻擊比例更高。雖然兩個平台都面臨更多環境攻擊，但 iOS 應用程式的越獄攻擊數量急劇增加。

專業攻擊日益增多

專門針對應用程式完整性的攻擊數量急劇增加：

• Android的： 攻擊可能性從 2023 年的 34% 上升到 2024 年的 84%。
• iOS版： 攻擊可能性從 2023 年的 17% 增加到 2024 年的 29%。

受歡迎程度與風險

我們的數據顯示，應用程式的受歡迎程度與其成為攻擊者目標的可能性之間相關性較弱。

這項發現與我們去年報告中的結論一致，仍然讓我們感到驚訝。我們的直覺告訴我們，攻擊知名應用程式帶來的樂趣、榮耀和經濟利益才是關鍵。但我們持續觀察到相關性較弱，這讓我們得出結論：攻擊者的動機可能完全不同。

1. 唾手可得的成果： 攻擊者可能認為熱門應用程式都受到嚴密保護，因此不會浪費時間嘗試破解它們。相反，他們可能會將精力集中在不太流行的應用上，以便更容易利用安全漏洞，使這些應用程式成為所謂的「唾手可得的果實」。
2. 實用性重於榮耀： 有些攻擊者的動機可能是出於實用性和個人便利性。例如，他們可能會入侵一款用戶群相對較小的醫療設備應用程序，例如只有一萬名用戶。他們的目的並非從破解中牟利，而是為了自身方便而重新利用該應用程式——例如，篡改糖尿病監測儀上的胰島素讀數——他們或許並未意識到這樣做會給自己帶來人身傷害的風險。

應用程式開發者應該根據受保護資料的價值而不是應用程式的受歡迎程度來優先考慮安全性。

保護您的應用程式免受網路攻擊

企業利用人工智慧加速應用程式開發的同時，也必須優先考慮安全性。然而，快速交付的壓力往往導致安全性被忽略。 Digital.ai我們幫助客戶保護全球超過十億個應用程式實例。我們的研究和洞察旨在讓您隨時了解最新威脅，並做好更充分的準備。

要領先威脅，需要持續保持警惕、制定明智的策略並採取強有力的安全措施。透過了解風險和 利用先進的安全解決方案在這個動態環境中，我們可以保護我們的應用程式和使用者。最起碼，用於編譯在實際環境中使用的應用程式的程式碼必須進行混淆處理。而且，應用程式本身也需要保護措施來偵測是否存在未加密或未經加密的程式。safe 它們會適應各種環境，並在被置於不適合的環境時採取規避措施。safe 企業在應用程式經過混淆處理並配備防篡改措施後，即可監控應用程序，了解其遭受攻擊的方式，從而進行調整。 混淆 以及應對現實世界攻擊的防篡改措施。威脅情勢瞬息萬變。我們所做的就是監控這種演變，並調整策略，始終保持領先一步。

 

有關如何的更多信息 Digital.ai 可以幫助您保護應用程序，請訪問 digital.ai/產品/應用程式安全/