網路釣魚攻擊的最新趨勢及防禦措施

網路釣魚攻擊者在設計釣魚詐騙時從不缺乏創意。他們不斷尋找新的誘餌、新的主題和新的目標，以便對組織和使用者進行侵害。然而，值得慶幸的是，研究人員對這種超越釣魚郵件的攻擊手法非常了解。許多安全專業人士花費大量時間解開這些新型攻擊的複雜性，以保護組織和使用者的安全。這也解釋了為什麼許多釣魚攻擊因其方法和被捕獲的方式而成為頭條新聞。

2020年8月下半月四大顯著釣魚攻擊概述

1. 利用Canva託管文件

在2020年8月16日，KnowBe4揭露了一封偽裝成Sharepoint文件共享通知的釣魚郵件。郵件指示收件者點擊嵌入郵件中的「開啟」按鈕。點擊後，該按鈕將使用者重定向到一個託管在圖形設計平台Canva上的文件或檔案。此文件促使訪客點擊「存取您的安全文件」超連結。如果訪客順應，攻擊會將其引導至託管在Weebly上的偽造Sharepoint登入頁面。

2. 企業VPN遭到「語音釣魚」攻擊

幾天后，KrebsonSecurity.com披露了一項針對使用「語音釣魚」（vishing）進行攻擊的僱傭釣魚者團體的調查。報告時，該團體主要針對金融、電信和社群媒體產業的組織。該威脅團體的攻擊獨特之處在於，所有攻擊均以對目標組織員工的電話開始。在通話中，攻擊者偽裝成IT人員，告知員工正在追蹤組織企業VPN的一些問題。惡意行為者利用這項幌子試圖誘使員工洩漏其憑證。這可以透過電話口頭交談或訪問為攻擊而創建的釣魚網站完成。

3. 經紀人資訊被盜用於創建釣魚網站

金融業監理局（FINRA）於8月20日發布了監理通知20-30。 FINRA解釋說，它收到了多個成員公司報告，表明欺詐者使用代表的資訊創建虛假網站。這些網站通常使用目標代表的名字作為域名，並包含該代表的照片及其工作經驗的詳細資訊。創建這些冒名網站的人並沒有止步於此。根據FINRA的公告，詐欺者創建了聯絡表單，促使訪客提交個人資訊，包括姓名、電子郵件地址和電話號碼。 FINRA也表示，收到通報詐騙者曾撥打客戶電話，指引他們造訪假網站。

4. 針對員工OWA憑證的低調詐騙

在同一時期，Sophos發現了一起「低調」的釣魚詐騙活動。這項行動始於一封看似來自自身電子郵件帳號的自動訊息。此訊息告知他們，幾封來信未能送達其收件匣。接著，它提示他們透過點擊包含公司名稱的URL連結來存取公司分配的Outlook Web Access（OWA）入口網站。問題在於，該連結的實際目標與超連結文字顯示的不同。相反，它將用戶重定向到一個臨時雲端儲存URL，託管著一個虛假的OWA登入入口網站。在取得使用者憑證後，攻擊將受害者引導至一個合法的OWA頁面。

如何防禦釣魚詐騙

上述攻擊突顯了組織需要防止釣魚者的必要性。組織可以透過以下方式來保護自己：

• 限制使用者存取高價值資產：除非這些資產對其工作至關重要，否則應限制使用者存取。
• 監控使用者行為：對可疑活動進行監控，以便及時發現潛在的攻擊。
• 提高員工意識：定期測試員工對釣魚攻擊的認識，並增強其防範能力。
• 主動監控網域：持續監控並主動購買可能冒充其網路資源的拼字錯誤網域（typo-squatting）。

透過採取這些措施，組織能夠提高抵禦釣魚攻擊的能力，保護自身和使用者的安全。