網路釣魚，別被釣走了

在眾多垃圾信裡，最令人討厭的大概就是phishing，也就是人家說的網路釣魚，利用假的網路信件要你輸入個人帳號和密碼，只要你照著輸入，那就有可能被竊取個人資料。（可點選右圖看信件圖檔內容和我自己做的一些標記）

以往一向沒特別注意，很多資訊都是不經意的看過後就刪除了，今天仔細看到Fred的Blog裡有這麼一篇：「網路釣魚去！」又想到昨夜瞄了Seth Godin的Seth’s Blog有這麼一篇「Criminals」，於是想起了之前收到好多次的paypal提醒確認帳號信件，我是有paypal帳號，但也沒怎麼仔細看就把信刪掉，今天從垃圾筒裡找到這一封，仔細一看，還真的是釣魚信件。

後來查一查，在裡面連結paypal網址的部份顯示連結到http://heyday.in/webscr/index.php，現在這個網頁已經找不到頁面了，再用whois.net去查fulldeck.org，當初就是因為它的來源是fulldeck.org所以沒特別在意，今天去whois.org查一查得到以下資訊（請點圖片）：

在最後還提醒收件人不要回信，有問題可以登入PayPal帳號，不過在看過郵件原始檔後發現是連結到media-trade.ru的網頁，關於這個網域的資訊，從查詢的網頁是以下的結果（請點圖片）：

不知道這些的PayPal釣魚信件是不是media-trade所搞出來的？還是其他惡意行為所出現的，大家還是小心點囉！如果收到要求輸入個人帳號及資訊的郵件，多仔細注意一下囉！

在這裡提供一下查詢註冊網域資料的網站：

留言

此網誌的熱門文章

為什麼我支持《數位中介服務法》草案

在經歷許多次反抗台灣政府所立的網路相關法案後，我其實沒想過除了《數位通傳法》草案外，我還會再支持另一部法律草案，雖然《數位通傳法》草案還壓在某處，但如果有人讀過《數位通傳法》的草案，再讀這部《數位中介服務法》草案，就會知道這部草案的重要性，而且也可以顯示台灣網路使用者的成熟度，更重要的，這是我第一次看到引入國際網路治理多方利害關係人機制的法律草案，而且是用在正確的地方。有興趣想知道我在讀法條時的筆記和當下的感想，可以看我這則 Tweet 。這篇不使用逐條讀法條的方式來寫，因為那會讓人昏昏欲睡，我也不去比對歐盟《數位服務法》，因為我在讀《數位服務法》草案時，該草案特別強調是加強歐盟 E-Commerce Directive ，而不是取代它，而且更多著重在預防盜版、仿冒，保護消費者的法案。所以當有輿論提到參考自《數位服務法》的《數位中介服務法》草案限縮言論自由時，我其實是一頭問號的，但一直到今天我才有時間讀《數位中介服務法》草案，這篇文章出自於我的個人經驗和閱讀法案的心得，與擔任的職務無關。如果最近注意一下網路的資訊，有幾件事該注意一下：有許多人在社群平台，如Facebook或是其他網路看到一些廣告，而這些廣告可能是要你支持台灣農產品、台灣製的產品，結果你收到時，上面還寫著簡體字，通常這是所謂的一頁式廣告詐騙，而行政院的消費者保護會在 2019 年時就有新聞稿在警告「一頁式廣告詐騙多小心查證保障多」，之後像公視或是其他單位都有相關的活動在提醒大家小心這類廣告。但目前這些廣告其實多數不易處理，因為不容易取證、保留證據，等到追查到時已經找不到對方了。有不少親密照片與影片在情侶分手後，被報復性的上傳到情色網站或透過即時通訊傳到親友的帳號裡，或是被洩露個資，遭到公開的霸凌。之前有一個專題：「青春煉獄：網路獵騙性私密影像事件簿」，光是讀完這個專題報導我就覺得受傷。有人使用 Deep Fake 把台灣名人的臉部照片合成至色情影片再上傳至色情影片平台，今年 7 月才被判刑。還有許多創作者藉由網路分享作品時，被人盜用，甚至有國外的使用者修改台灣人的作品去參與比賽還獲獎。有一次打電話問某個部會，如果消費者在國外電子商務平台買東西，但資料被外洩怎麼辦？雖然政府願意協助，但衡量至國外打官司的時間和成本，就會讓人卻步。有些行為在現實世界裡有法...

食品溯源與營養成分分析程式的困難

我之前寫過自己在做一個分析營養成分的Bot ，用最簡單的方式追蹤每日、每週、每月的營養攝取狀況。做著做著，我發現一個問題：如果這個 Bot 要進一步給予建議，會踩到誰該給建議的界線。剛好最近食安新聞不斷，我想起自己多年前放棄的食品溯源專案，於是把原本分析營養成分的 Bot，延伸成一個自己動手做的食品溯源程式。這篇文章想分享的是這個延伸過程裡遇到的三個矛盾：營養分析的黑盒子問題、自己做溯源程式時撞到的資料難題，以及消費者實際採購行為與溯源理想之間的落差。營養分析的黑盒子目前市面上以AI分析營養成分的應用，有一塊我一直覺得模糊的區域：使用者無從得知分析依據為何。另外還有一個更根本的問題，使用者吃東西為什麼要先拍照才能吃？拍照分析一餐，本身就是打斷用餐過程，也不符合大部分人吃飯的日常邏輯。唯一真正說得通的應用場景，是把這個功能放進眼鏡裡，讓使用者所見即可分析，不需要額外動作。即使先不談拍照這件事，營養分析Bot本身也有精準度的問題。脂肪與鈉含量是最難估算的兩項，AI會給出數字，但使用者不知道這個數字的計算依據，實際使用中也會遇到辨識失敗的案例，還需要「教會 AI 學習與記憶」歷次辨識的結果。動手做自己的食品溯源程式做到現在，大概能理解當初這類食品溯源計畫為什麼沒有做出大家都想用的成品。核心困難是各方資料庫格式不一致，在沒有 AI 協助的年代,清洗資料、做正規化本身就是一個工程量很大的任務。現在有AI協助，清洗與統一格式的速度快很多，但還是存有資料流失的風險。台灣食藥署有提供開放資料下載，實際使用後我發現幾個資料本身的漏洞,而這些漏洞不是食藥署一個單位能單獨解決的：進口商紀錄無延續管制：曾有食安風險新聞的進口商，依然可以繼續進口食品；廠商自主登錄無強制力：部分食品不會主動登錄食藥署平台，登錄與否全靠廠商自願，沒有強制規範；品牌名稱相近造成混淆：統一生機、統一生醫、義美生醫、義美生技等大廠的名稱相近，AI在判斷資料時，很難判斷該合併還是分開處理，還需要去工商登記查詢。相對地，國內較大品牌像聯華、光泉、義美，通常會自建食品溯源網站，並在自家包裝上印刷條碼，消費者掃描條碼就能連結到來源與檢驗結果。這類大品牌的資料完整度高，我做溯源程式時，對於大品牌並建有溯源平台的資料則以品牌自建平台的資料為主，不會再抓下來。使用行為的矛盾整個使用流程是拍照或掃描、上...

法制追不上AI：缺乏台灣AI基本法子法，公務員使用生成式AI的五大風險

昨晚看新聞，現任台北市長拋出一個政策宣示：未來公務員將配給自動化的AI工具，讓台北市政更「前進」。台北市資訊局也已快速推出 CiviClaw，目標是 2027 年讓每位公務員都能無門檻使用 AI。這樣的政策方向讓我感到憂心。長期觀測各國個資保護規範的我清楚知道：台灣的個人資料保護主管機關至今仍是「籌備處」，尚未正式運作；《個人資料保護法》的修法呼聲雖久，AI相關條款卻付之闕如；《人工智慧基本法》已於今年1月施行，但高風險AI認定標準的子法至今仍是空白。有網路、有 IoT 不等於智慧城市，有 AI 當然也不等於智慧城市，應該重視制度能否承接工具帶來的責任。歐盟已明確禁止業者使用 AI 推測員工或學生的心理狀態；美國聯邦政府要求採購 LLM 時廠商必須提交模型卡與資料卡；韓國 AI 基本法的子法早已配套生效。這些都是台灣政府在推動配給公務員 AI 之前，必須正視的制度差距。以下我與大家分享長期觀測的內容，由AI協助整理資料：歐盟：從禁令到揭露義務的多層規制體系歐盟的AI治理框架是由多部法律疊加起來的立體架構，最底層是2018年施行的 GDPR，處理的是個人資料如何被蒐集、儲存、使用的基礎規則，再來疊是2024年生效的《人工智慧法》（EU AI Act，下稱 AI 法），建立不同風險等級分類管理AI系統，從禁止使用到高強度監管、再到一般透明度義務，形成不同層次。最新的一層則是仍在立法程序中、但主要架構已確立的 Digital Omnibus ，試圖修補 AI 法與 GDPR 之間的規範衝突。 AI 法第50條是最直接影響生成式AI服務的條款，自2026年8月2日起全面適用。根據這條規定，凡是讓使用者與AI系統互動的業者，必須主動告知對方「正在與 AI 互動」，而不能讓人誤以為面對的是真人。AI生成的文字、影像、音訊等內容，還必須以機器可讀的格式加上標記，使平台與監管機關得以溯源辨識。與此同時，AI法第14條要求高風險AI系統必須設計成「可由自然人有效監控」的形式，確保機器的決策不會在缺乏人工審核的情況下直接作用於當事人。 AI法所稱的「高風險 AI 」，涵蓋的場景比一般想像的廣。依該法附件三列舉，生物辨識系統、關鍵基礎設施管理、教育與職業篩選、就業與人員管理、信貸與社會福利申請審核、執法、移民邊境管制，以及司法審判輔助，都在高風險範疇之內。這些場景的業者必須進...