很多人以為，進入數位時代後，大家就不愛看書了，但其實並不是這樣。事實上，現在想享受閱讀的樂趣，早就不一定要拿著實體書，電子書也成了許多人的選擇。
不過，閱讀電子書也會有資安風險嗎？乍聽之下好像沒什麼好擔心的，但因為閱讀人口眾多，電子書的需求也很大，網路犯罪分子自然不會放過這個賺錢的機會。
為了了解駭客如何利用大家對電子書的興趣進行詐騙，以及讀者該注意哪些事情，才能避免受害，我們特別訪問了 Kaspersky 兒童網路安全主管 Andrey Sidenko，請他分享常見的詐騙手法與防範方式。
下載的不是電子書，而是惡意軟體
詐騙集團最常鎖定的，就是那些想從盜版網站免費下載電子書的電腦和手機使用者。
舉例來說，我們的資安專家最近就發現，有駭客透過這類網站散播挖礦惡意程式，偷偷利用受害者電腦的運算資源來挖掘各種加密貨幣。
這些網站有些還會提供免費試閱，讓使用者以為只是一般的電子書下載平台。
但實際上，攻擊者不只會竊取使用者的密碼，還會透過惡意程式碼偷偷替換下載連結，讓使用者下載到的不是電子書，而是一個藏有惡意軟體的壓縮檔。
更可怕的是，這個壓縮檔的名稱還會跟使用者原本想下載的書名一模一樣，讓人很難察覺異常。
而且，這些惡意網站甚至會出現在搜尋結果的前幾名，大幅提高使用者誤點的機率。
另外，我們在一年前也曾報導，有駭客利用土耳其文和阿拉伯文的熱門書籍作為誘餌，散播假電子書。
這些檔案表面上看起來是一般的 PDF，實際上卻是偽裝成 PDF 的惡意執行檔。
只要使用者開啟，裝置就可能被安裝資訊竊取型惡意軟體（Infostealer），並將通訊軟體的登入工作階段權杖、瀏覽器資料、已儲存的密碼，甚至加密貨幣錢包資訊，通通傳送給駭客。
搜尋結果也可能藏有陷阱
除了惡意下載網站，另一種需要小心的，就是利用搜尋引擎垃圾內容來吸引使用者的網站。
想像一下，你在 Google 搜尋「魔戒 免費下載」，結果點進某個網站後，發現頁面上不但出現一模一樣的搜尋關鍵字，還聲稱可以免費下載你想找的書。
看起來好像很方便，對吧？
但實際上，你可能根本下載不到電子書，反而被重新導向其他可疑網站，最後下載到惡意檔案。
更誇張的是，就算你搜尋的是一位根本不存在的作者，或一本完全虛構的書，這類詐騙網站一樣可能出現在搜尋結果中。
因為這些網站可以自動產生看起來很真實的下載頁面，幾乎不管你搜尋什麼內容，都能做出對應的假頁面來騙人。
專門鎖定愛書人的網路釣魚詐騙
除了惡意軟體，詐騙集團也會利用愛書人的興趣，設計各種網路釣魚陷阱。
例如，曾有一群詐騙分子冒用知名閱讀社群 Goodreads 的名義，寄送假電子郵件給使用者。
信件內容會提供各種看似吸引人的服務或機會，例如：
- 邀請使用者擔任社群管理員。
- 參加書籍相關活動。
- 購買付費書籍宣傳服務。
但這些服務其實都是假的，詐騙集團只是利用知名平台的名氣，讓受害者降低戒心，進一步騙取金錢。
另一個案例則發生在瑞士。
當時，社群媒體上出現了冒用瑞士知名連鎖書店 Orell Füssli 名義的詐騙廣告。
廣告宣稱可以用超低折扣購買書籍，吸引消費者點擊連結下單。
不過，使用者一旦進入網站並輸入信用卡資料，就會掉入陷阱。
因為這些連結其實會導向假網站，目的不是賣書，而是偷偷替受害者申辦需要定期扣款的付費訂閱服務。
另外，詐騙集團也經常架設假冒盜版電子書圖書館的釣魚網站。
現在這類網站不只提供小說，還可能包含教科書、學術論文、研究報告、絕版書籍，以及其他不容易透過公開管道取得的資料。
由於這些盜版圖書館經常遭到封鎖，因此必須不斷更換網域名稱。
也正因為如此，一般使用者很難分辨，自己進入的到底是真正的網站，還是詐騙集團架設的假網站。
駭客就是利用這一點，把自己架設的網站包裝成官方鏡像站。
而且，這些假網站通常做得非常逼真，不但外觀幾乎跟原本的網站一模一樣，甚至還真的可以搜尋和下載書籍。
例如，2024 年就曾發生一起資料外洩事件。
當時，一個模仿 Z-Library 的釣魚網站，有將近 1,000 萬名使用者的資料遭到外洩。
Z-Library 是一個提供免費下載受存取限制書籍及出版物的平台。
這次外洩的資料包括：
- 使用者姓名
- 電子郵件地址
- 居住國家
- 經過雜湊處理的密碼
- 購買紀錄
- 加密貨幣錢包地址
當駭客掌握這麼完整的個人資料後，就更容易設計下一波詐騙。
例如，假冒警察，指控受害者曾瀏覽非法網站，甚至威脅要對他提起刑事訴訟，要求支付一筆費用才能撤銷案件。
電子書閱讀器也會中毒嗎？
對駭客來說，電子書閱讀器其實不是最有吸引力的攻擊目標。
原因很簡單，駭客很難事先知道使用者使用哪一款閱讀器，也無法確定裝置是否有連上網路。
再加上，多數電子書閱讀器的功能相對單純，基本上就像是一個加了螢幕的隨身碟。
不過，現在市面上也有功能更完整的電子書閱讀器。
這些裝置可以連接網路、使用瀏覽器、下載第三方 App，甚至支援雲端儲存功能。
相較之下，這類功能較多的裝置，就比較有可能成為攻擊目標。
但實際上，目前針對電子書閱讀器進行漏洞研究的，大多還是資安研究人員，而不是一般網路犯罪分子。
例如，2025 年就有研究人員發現，Kindle 存在一項安全漏洞，可能讓攻擊者透過漏洞控制與閱讀器綁定的 Amazon 帳號。
3. 更新後，記得重新啟動服務
安裝完 PHP 安全更新後，還需要重新啟動 PHP-FPM 或網頁伺服器，才能確保系統實際載入修補後的程式碼。
完成後，可以使用以下指令確認 PHP 版本：
php -v
不過要特別注意，如果 PHP 是透過 Linux 發行版套件安裝，供應商可能會將安全修補程式套用到原本的版本，而不直接更改版本號碼。
因此，即使看到的 PHP 版本號碼沒有變，也不代表一定沒有修補。
建議同時檢查套件的更新紀錄（Changelog），確認相關漏洞是否已經修復。
個資外洩，以及其他容易被忽略的風險
有些電子書閱讀器提供不少方便的功能，例如畫重點、標記喜歡的句子、做閱讀筆記，甚至可以把這些內容分享給其他使用者。
但你可能沒想過，這些看似普通的閱讀紀錄，也可能被有心人士拿來利用。
例如，攻擊者可能透過這些資訊進行人肉搜尋（Doxing），挖掘並公開使用者不想讓別人知道的私人資訊。
尤其是當某個人不希望別人知道自己正在閱讀什麼書時，風險就更明顯。
像是《格雷的五十道陰影》這類涉及個人隱私的書籍，或其他不想公開的閱讀內容，都可能成為被揭露的資訊。
2020 年，一名《衛報》記者曾向 Amazon 申請調閱自己的個人資料。
沒想到，她最後竟然收到超過 20,000 筆與電子書閱讀器使用情況有關的紀錄。
這些資料詳細記錄了：
- 她讀過哪些書，以及閱讀時間。
- 每次花多少時間閱讀。
- 曾經標記或複製哪些文字。
- 查詢過哪些單字的意思。
換句話說，電子書平台可能掌握的資訊，比你想像中還要多。
因此，閱讀紀錄其實也應該被視為個人資料的一部分。
如果電子書平台發生資料外洩，或你的帳號遭到駭客入侵，對方取得的可能不只是電子郵件地址，還包括許多與你個人生活和閱讀習慣有關的資訊。
怎麼做才能安心閱讀電子書？
想要降低閱讀電子書時遇到資安威脅的風險，其實可以從幾個簡單的習慣開始。
1. 優先選擇官方電子書平台
最簡單的方式，就是盡量透過官方書店或合法的電子書平台購買、下載書籍。
這不只是為了尊重著作權，更是為了保護自己的裝置和個人資料。
因為正規平台通常比較重視品牌聲譽，也會對上架內容進行一定程度的審查，因此提供的檔案相對更值得信任。
2. 定期更新裝置和閱讀軟體
不管你使用的是電腦、手機，還是功能比較簡單的電子書閱讀器，都應該定期檢查並安裝更新。
只要裝置有作業系統或軟體，就可能存在安全漏洞。
而及時更新，就是修補這些漏洞、降低遭到駭客攻擊風險的重要方法。
同樣的道理，也適用於電子書閱讀與管理軟體。
例如，今年資安研究人員就發現，Calibre 和 Koodo Reader 都存在嚴重的安全漏洞。
因此，除了裝置本身，平常使用的閱讀 App 也別忘了更新。
3. 不要隨便安裝非官方韌體
有些使用者為了突破電子書閱讀器的功能限制，會選擇安裝非官方韌體。
尤其像 Kindle 這類採用封閉式生態系統的裝置，更容易讓使用者想透過修改韌體來增加功能。
但這麼做其實存在不少風險。
首先，安裝過程中可能發生錯誤，導致裝置無法正常開機，甚至直接變成俗稱的「磚頭」，完全不能使用。
而且，就算當下成功安裝，之後裝置透過網路自動更新官方韌體時，也可能出現系統衝突，造成當機或無法使用。
另外，安裝非官方韌體也可能導致原廠保固失效。
如果裝置連上網路後，被製造商偵測到韌體遭到修改，甚至可能面臨帳號被封鎖的風險。
更需要注意的是，非官方韌體本身也可能藏有惡意軟體。
例如，駭客可能把資訊竊取程式藏在韌體中，偷偷取得使用者的個人資料與密碼。
而電子書閱讀器通常無法像電腦或手機一樣安裝防毒軟體，因此一旦遇到這類問題，處理起來可能更加麻煩。
4. 定期備份自己的電子書
很多人以為，只要花錢買了電子書，就能永遠在帳號裡閱讀。
但事實上，並不一定。
電子書可能因為授權條款變更、平台政策調整，或其他限制，突然無法再透過原本的帳號存取。
此外，有些電子書格式受到平台限制，只能在特定品牌的閱讀器或 App 中購買及閱讀。
因此，我們建議定期備份自己的電子書收藏。
在平台授權及相關規定允許的情況下，可以將備份檔案儲存在電腦或其他裝置中，並確保需要時能夠離線存取。
這樣一來，就算電子書平台發生問題，或閱讀器突然故障，也比較不容易失去原本收藏的內容。
5. 下載電子書前，先確認副檔名
每次下載電子書時，都應該特別留意檔案的副檔名。
一般常見的電子書格式包括 PDF、EPUB 等。
如果你下載的電子書，檔名最後卻出現 .exe 或 .bat，就要特別小心。
因為這些通常是 Windows 的可執行檔或批次處理檔，而不是一般的電子書格式。
如果貿然執行，就可能讓惡意程式在電腦上運作。
想進一步了解哪些副檔名可能藏有危險，可以參考我們整理的常見惡意檔案副檔名介紹。
6. 避免進入可疑網站，也不要隨便下載不明檔案
現在詐騙集團偽裝惡意軟體的手法越來越高明，有時候光看網站外觀或檔案名稱，真的很難分辨真假。
因此，最重要的原則就是：
不要隨便瀏覽來路不明的網站，更不要下載不確定來源的檔案。
另外，也可以透過資安防護軟體，進一步降低遭到攻擊的風險。
例如，Kaspersky Premium 就提供網路釣魚防護與惡意軟體防護功能。
當你準備進入不安全的網站，或下載可能有危險的檔案時，防護軟體就能發出警告，提醒你注意潛在風險。
透過這些防護措施，可以進一步保護個人資料與財產安全，讓你在下載、閱讀喜歡的電子書時，也能更加安心。
文章重點： 電子書本身不一定危險，真正需要注意的，是假下載網站、偽裝成電子書的惡意檔案、網路釣魚詐騙，以及閱讀平台可能發生的個資外洩問題。只要選擇可信任的平台、定期更新裝置、確認下載檔案的來源與格式，並做好基本資安防護，就能有效降低閱讀電子書時遇到的風險。
資料來源: How to download and read ebooks safely | Kaspersky official blog