2010年國外便有一則案例，由於將隱私權設定勾選為分享給「朋友的朋友」，而導致其出遠門的訊息洩露給其中一名「不懷好意」之朋友的朋友，遭致闖空門的下場。
在本範例中，有可能嫌疑者C以及人物A與B。首先，A在社交網路服務網站Facebook中收到一個交友訊息，畫面如圖3所示，某個申請與A成為朋友關係，而經過檢視，其所顯示的照片及個人資料，使得A認為此帳號即為其友人B，因而同意與該帳號在Facebook上成為朋友關係。
有天該帳號以手機損壞無法使用且有急需為由，透過即時訊息功能，請A協助購買網路遊戲點數和代收網路遊戲認證碼簡訊，並請A告知認證碼。然而，該帳號在獲取認證碼後即失去聯絡，A在收到手機帳單並向朋友B詳加查證後，發現B並未使用Facebook，A始知已遭到犯罪者詐騙。
 |
| ▲圖3 完成撥號對應表建立。 |
由於Facebook的帳號即為使用者的E-mail帳號，也是用來識別使用者的唯一依據，使用者在帳號申請過程中都須要經過E-mail認證（圖4），所以雖然犯罪者所公布的個人資訊為B所有，但是可以確定該E-mail為犯罪者所擁有。
 |
| ▲圖4 Facebook註冊畫面。 |
經過檢視，得知B所使用的E-mail為im711148@xxx.net，執法人員可依據其E-mail追查IP位址，例如向該E-mail主管單位查詢申請者身分。
取得IP位址後，執法人員追查到C的電腦，但是C矢口否認使用該Facebook帳號。此時，該如何證明C確實使用過該帳號，為執法人員須提出證明並努力的方向。
由於登入Facebook網站並不需要安裝任何軟體，因此有別於其他須安裝才能使用的軟體程式會在登錄檔中留下許多證據；Facebook在使用者端並不會留下太多數位證據，僅能從電腦中的揮發性記憶體中找到些許殘存證據，證明使用者剛剛執行的動作和行為。
先將該電腦的記憶體，透過Helix鑑識軟體進行記憶體傾印（Dump）。Helix是由e-fence公司發展的鑑識軟體工具，為Live CD，可協助鑑識人員獲取電腦資料而不會修改到目標電腦的資料與設定值。Helix軟體的執行畫面如圖5所示，先將Source（來源）設定為「PhysicalMemory」，並選擇儲存的目的地資料夾與輸出檔案的名稱。
 |
| ▲圖5 透過Helix軟體進行記憶體傾印。 |
接著將傾印出來的記憶體映像檔image.dd，透過EnCase專業鑑識軟體進行關鍵字搜尋，圖6為EnCase輸入關鍵字搜尋的畫面。輸入「view my profile」、「profile.php」、「pass=」，以及C所用的E-mail帳號「im711148」等四個字串作為搜尋的關鍵字。
 |
| ▲圖6 EnCase關鍵字搜尋畫面。 |
在這四個關鍵字搜尋結果中，發現一些關鍵性的蛛絲馬跡，例如在關鍵字「view my profile」的搜尋結果，如圖7所示發現：「Visit your privacy settings to control who can see the information on your profile」、「View My Profile」、「Apple Ting」、「Edit Profile」、「Current City」等資料，這顯示剛剛偽冒者曾用Apple Ting帳號登入Facebook，並編輯帳號的基本資料。
 |
| ▲圖7 關鍵字view my profile的搜尋結果。 |
而圖8顯示在關鍵字「pass=」的查詢結果中，發現有一段「Email=im711148@xxx.net&pass=123xx」，表示C曾用im711148@xxx.net登入Facebook，且密碼為123xx。
 |
| ▲圖8 關鍵字pass=的搜尋結果。 |
透過上述記憶體鑑識的操作，可以在C的電腦中找到他曾經使用過該帳號登入的證據，證明C的確使用過該帳號，並與A進行互動。
也就是說，C是進行詐騙行為的偽冒者，利用A對B的信任與朋友關係，在Facebook建立一個帳號，利用B在網路上分享的資料與照片，盜用B的身分，在Facebook上與A成為朋友關係，並透過A所公布的Facebook塗鴉牆、個人訊息、照片內容等相關資料，了解A的生活與動態、A與B的關係，時常攀談建立熟悉感與信任程度後，藉此進行詐騙取財等非法行為，在此將此範例的關係以圖9表示。
 |
| ▲圖9 事件關係圖。 |
結語
社交網路服務為資訊產業帶來新的契機與商機，卻也帶來許多新的資安事件。本文透過範例操作說明，詳細解釋記憶體鑑識流程，協助相關鑑識人員在遭遇社交網路服務網站相關鑑識案件時該如何因應，藉此確認嫌疑者與犯案帳號的關聯，得以輔助有利證據的確認，有效協助數位鑑識作業。
我手機壞掉了 可以幫我收一下驗證碼嗎
回覆刪除之類的