近年來，民眾申訴銀行存款突然被盜取的案件時有所聞，這類案件主要和惡意軟體侵入手機有關。

最近有兩組數據出爐，顯示新加坡在打擊這類騙案取得了一定成效，但卻也透露出新加坡人的警覺心仍有不少改善的空間。

第一組數據來自谷歌新加坡：

今年2月以來，本地安卓手機用戶當中，有約90萬次下載高風險手機應用的嘗試被安全系統「攔下」。

第二組數據來自新加坡政府：

本地今年上半年只有95起和惡意軟軟體詐騙有關的投報，和去年相比大幅下滑。去年一整年共有多達1899起投報。

這兩組數據透露了什麼訊息？

• 首先，惡意軟體詐騙案件急劇下滑，有多達90萬次下載高風險手機應用的嘗試被擋下，顯示科技公司和當局的努力取得一定成效。
• 其次，反過來說，嘗試下載高風險應用的次數多達90萬次，這90萬次下載數又分別集中在20萬部安卓裝置上，說明了本地手機用戶防範詐騙的警覺性依然不足。

潛台詞大概就是：

如果沒有被擋住，搞不好會更多人受騙。

何謂高風險應用？詐騙分子通常會通過釣魚、求職、投資等手段，誘騙受害者點取連結，在手機安裝惡意軟體。

這些惡意軟體在安裝過程中，經常會要求獲取監控螢幕或讀取SMS簡訊的權限。

這兩種權限是詐騙分子盜取受害者敏感信息，並盜取錢財所需的「鑰匙」。

蘋果和安卓是本地手機主要的兩大生態系統。其中，又以安卓手機系統遭不法分子侵入的風險更高，是詐騙活動的「溫床」。

這是因為安卓手機系統允許用戶從非官方渠道下載第三方應用。

受害者一旦安裝惡意軟體，就陷入了遭騙子遠端詐取錢財的風險之中。（聯合早報示意圖）什麼是加強版安全系統？有鑒於此，谷歌今年2月與新加坡網絡安全局合作，推出一項名為Google Play Protect的保護機制。

這套保護機制能自行偵測用戶手機是否下載高風險應用，並採取行動阻止他們安裝。

該保護機制已逐步裝入本地所有安卓手機並預設運行，用戶若要取消保護機制，就必須手動解除整套Google Play Protect系統的運行。

在保護機制運作下，一旦本地安卓用戶嘗試從非官方渠道，包括網絡瀏覽器、通訊軟體應用，或者文件管理平台上下載具潛在風險的可疑應用程式，安全系統就會進行阻擋，並向用戶解釋阻擋的原因。

也就是這套系統，從今年2月以來，阻止了本地用戶多達90萬次下載有害軟體的嘗試。

Google Play Protect能阻止用戶下載有害軟體。（網際網路）惡意軟體是「萬惡起源」根據新加坡警察部隊等相關單位的資訊，和惡意軟體有關的詐騙主要通過以下程序進行：

1. 騙子透過社交工程（Social Engineering）誘使受害者從非官方渠道下載第三方惡意軟體，一些主要的騙案「主題」包括投資、求職和電子商務等，也有可能是釣魚（如在簡訊中夾帶有害連結）或冒充受害者友人等方式。
2. 安裝過程中，惡意軟體會要求監控手機螢幕和讀取信息的權限，一旦受害者同意安裝，就會墜入陷阱。
3. 惡意軟體可能進一步獲取其他侵入受害者手機的權限。
4. 在這之後，一旦用戶在手機上輸入敏感資訊登入銀行等應用，詐騙分子就可通過監控螢幕等遠端權限，獲取受害者的帳號和密碼。
5. 詐騙分子再冒用受害者的帳號和密碼登入銀行應用，將後者的存款錢取出。過程中銀行會發送一次性密碼（OTP）進行認證，由於惡意軟體能讀取手機簡訊，因此能輕易經過OTP認證，盜走受害者存在銀行的血汗錢。在一些情況下，部分惡意軟體甚至能攔截簡訊，因此有部分受害者也聲稱，他們在存款被盜走的過程中，從未收到任何OTP或相關簡訊通知。

（李國豪製圖）從整個過程來看，下載惡意軟體無疑是「萬惡起源」。

如果沒有下載惡意軟體，後續憾事應能得以避免。

除了谷歌推出協助阻擋用戶下載來歷不明應用程式的保護措施，本地銀行7月也宣布，將逐步讓用戶停止使用一次性密碼（OTP）登錄銀行帳戶，由安全性更高的數碼認證（digital token）取而代之，後者能確保只要手機還在個人手上，就無法讓騙子從遠端得逞。

換句話說，過去讓不法分子能見縫插針，盜取無辜民眾錢財的兩個要素已遭掐斷。

安卓手機用戶在保護機制運作下，不能再隨意下載來歷不明的高風險應用是第一道防火牆。

停用一次性密碼（OTP）是第二道防火牆，使騙子遠端登入受害者銀行帳戶的風險降低。

但最重要的防火牆，恐怕還是一般民眾對詐騙的警覺性，今年2月以來本地手機用戶仍有多達90萬次嘗試下載高風險應用，說明了這道防火牆有待加強的空間不小。