连续6年不跑路的安全速度最适合国人VPN
引言
隨著COVID-19疫情的蔓延，遠距辦公成為了許多公司的新常態。然而，這種轉變也帶來了網路安全的新挑戰，尤其是釣魚攻擊的增加。本文將探討一種新興的網路犯罪者法－語音釣魚攻擊（vishing），以及其對員工和企業的潛在威脅。
語音釣魚攻擊的崛起
什麼是語音釣魚攻擊？
語音釣魚攻擊是一種結合了電話社交工程和客製化釣魚網站的攻擊手法，攻擊者透過電話誘騙員工洩露虛擬私人網路（VPN）憑證。根據紐約網路調查公司Unit 221B的首席研究官Allison Nixon的說法，這種攻擊形式由於遠距辦公的普及而變得格外有效。
目標：新進員工
攻擊的實施步驟
攻擊通常從針對特定組織的遠端員工開始電話聯繫。攻擊者冒充公司的IT部門，聲稱要協助解決VPN技術問題。他們的目標是誘使員工在電話中透露憑證，或引導他們造訪一個模仿公司官方網站的釣魚網站。
Zack Allen是ZeroFOX公司的威脅情報總監，他表示，攻擊者通常會專注於釣魚新員工，甚至偽裝成公司的新員工，以增強可信度。
釣魚手法的多樣性
如何識別釣魚攻擊
攻擊者使用的釣魚網站網域往往包含公司的名稱，前後可能附加「vpn」、「ticket」、「employee」或「portal」等詞彙。為了增強可信度，釣魚網站上可能還會包含指向公司其他內部資源的有效連結。
Allen指出，語音釣魚攻擊通常涉及至少兩名攻擊者，一個負責社交工程，另一個則即時使用取得的憑證登入目標公司的VPN平台。
時間緊迫性
多因素認證的挑戰
許多依賴VPN的公司也要求員工提供多因素認證（MFA），例如透過行動應用程式或簡訊產生的一次性驗證碼。這使得攻擊者必須迅速行動，因為這些驗證碼通常只能在短時間內使用。
反覆試探的策略
攻擊者的策略
即使第一次嘗試失敗，攻擊者也不會氣餒。他們會繼續嘗試聯絡其他員工，逐步取得公司內部運作的細節，以便優化下一次的攻擊。
Nixon表示：「這些攻擊者一再撥打電話，試圖了解公司的內部運作。」這種資訊收集為他們提供了進一步攻擊的機會。
網域註冊的秘密
域名註冊的策略
安全研究人員發現，這個釣魚團夥在少數接受比特幣的域名註冊商那裡偽名註冊域名，而且每個註冊商帳戶通常只創建一個域名。這種策略使得他們在一個網域被封鎖後，仍能保留其他網域的使用。
釣魚攻擊的目標
取得內部公司工具的目的
這些攻擊的最終目標是盡可能獲取內部公司工具的存取權限，以控制可以迅速變現的數位資產，包括社交媒體帳戶和銀行帳戶等。
Nixon指出，攻擊者通常來自一個社交工程經驗豐富的年輕男性群體，他們透過多年的學習掌握瞭如何誘導員工洩漏內部工具的技巧。
結論
保護員工和公司安全的重要性
隨著網路攻擊手法的不斷演變，企業需要重視員工的安全意識培訓，以防止此類語音釣魚攻擊的發生。加強VPN和其他敏感資訊的保護措施，能有效降低企業面臨的安全風險。
強烈建議使用VPN產品以保護您的線上活動。
