分類: 年度資安報告/年度回顧與預測

雖然 2019 年網路釣魚活動的整體數量減少，但2019 年已攔截的 Office 365 非重複網路釣魚網址數量較前一年翻了一倍。
2019 年網路釣魚犯罪集團所使用的一些進階手法,使其越來越真假難辨 ,比如:
1. 登入憑證釣魚技巧
2.破解雙重認證機制的網路釣魚技巧
3.將網路釣魚連結插入搜尋結果當中
4.自訂「404 Not Found」 錯誤訊息頁面,發動網路釣魚攻擊

Office 365 網路釣魚威脅倍增

根據趨勢科技最新的「網路資安風險指標」(Cyber Risk Index) 研究指出，網路釣魚是企業 2019 年最大的威脅， 這項研究調查了美國境內上千家企業機構。儘管去年仍有不少網路釣魚詐騙，但我們偵測到的活動數量已較前一年減少。

2019 年已攔截的網路釣魚網址存取次數較 2018 年減少 28%，原本可能受到網路釣魚網站危 害的使用者數量也因而減少。此外，已攔截的非重複用戶端 IP 存取網路釣魚網址的次數也較前一年減少 38%。這類威脅偵測的數量之所以減少，或許還有一個因素是一些新型態訊息平台 (如 Slack) 的企業用戶日漸成長，而這些平台已取代了電子郵件。

雖然網路釣魚活動的整體數量減少，但假冒 Microsoft Office 365 (尤其是 Outlook) 的網址數量卻持續增加。2019 年已攔截的 Office 365 非重複網路釣魚網址數量較前一年翻了一倍。

駭入一個 Office 365 帳號，就能對企業機構內部進行網路釣魚攻擊

Office 365 的普及率已使得其每月活躍使用者數量在 10 月份突破 2 億大關，這也是為何它一直成為網路犯罪集團覬覦的主要目標。Office 365 帳號對歹徒之所以有價值還有另一個原因，那就是用來散發垃圾郵件。網路犯罪集團看上的是 Microsoft 的電子郵件平台，包含 Hotmail、Live Mail 及 MSN Mail，因為
Microsoft 電子郵件服務的郵件地址較容易被列在白名單內，對資安軟體來說也比較難以阻擋。此外，網路犯罪集團只要駭入一個 Office 365 帳號，就能對企業機構內部進行網路釣魚攻擊，完全不必再偽造電子郵件地址，這樣的攻擊讓企業更難防範。

四個網路釣魚詐騙新技巧

網路犯罪集團的技巧一直在不斷精進，其偽造的電子郵件越來越真假難辨，使得電子郵件與手機簡訊的 收件人更容易上當。這一點，從 2019 年網路釣魚犯罪集團所使用的一些進階手法就能看出端倪。

1. 登入憑證釣魚技巧

趨勢科技在 4 月份披露了一起採用一種最新登入憑證釣魚技巧的攻擊行動，歹徒使用的是 SingleFile 這個 Google Chrome 和 Mozilla Firefox 皆支援的網頁延伸功能元件。歹徒利用這個延伸功能元件來產生與原始登入網頁一模一樣的頁面讓使用者輸入登入憑證，進而加以竊取。

2.破解雙重認證機制的網路釣魚技巧

此外，我們也觀察到一種可破解雙重認證機制的網路釣魚技巧，它基本上是破解了一次性密碼 (OTP) 的 機制。2019 年，這個手法在日本相當流行，主要攻擊目標是網路銀行用戶。歹徒所發送的網路釣魚郵件或簡訊會將使用者帶往冒牌的網路銀行登入頁面。使用者一旦在該頁面上輸入自己的登入憑證，歹徒就將使用者的登入憑證拿到網路銀行真正的登入頁面同步登入使用者的網路帳戶。此時，網路銀行會產生一次 性的密碼來確認使用者的身分。當使用者收到一次性密碼之後，會將該密碼輸入假冒的登入畫面，此時歹徒就會得到密碼，並拿去輸入到真正的登入畫面當中，如此就成功駭入使用者的銀行帳戶。

3.將網路釣魚連結插入搜尋結果當中

網路犯罪集團也成功利用類似方法來攔截使用者的網頁搜尋，將網路釣魚連結插入搜尋結果當中。2019 年，歹徒利用遭到操作的 Google 的搜尋結果，讓受害者不小心誤入網路釣魚網頁。此方法要能得逞，歹 徒首先要重導網頁流量，將正牌網站的流量導向他們製作的網站，讓這些網站登上某些關鍵字在 Google 的 熱搜排行。接著，歹徒發送含有這類 Google 熱搜網站連結的電子郵件。當受害者點選這類 Google 熱搜排 行連結時，就會先連上歹徒架設的網站，然後再前往最後的網路釣魚網站。

4.自訂「404 Not Found」 錯誤訊息頁面,發動網路釣魚攻擊

另一個在去年值得關注的網路釣魚技巧是利用自訂的「404 Not Found」(網頁找不到) 錯誤訊息頁面來發動攻擊。歹徒並非單純地製作一個網路釣魚網站，然後將受害者導向這個網站，而是先註冊一個網域，然後設定一個自訂的 404 Not Found 錯誤訊息頁面，讓這個頁面假冒成登入畫面。有了這麼一個自訂的 404 Not Found 錯誤訊息頁面，歹徒就能將網路釣魚攻擊全都導向這個網域而沒有數量限制。

欲索取中文版完整報告,請至趨勢科技粉絲專頁,私訊小編,留言:我要索取2019年度資安報告

💝▎每月7 日下午 4 點 , 趨勢科技 IG 帳號,Fun 送粉絲獨享禮 ▎💝
) 快進來看看 🙂

過去 12 個月，對於一般數位科技使用者日常生活所遭遇的網路犯罪來說，可說又是蓬勃發展的一年，趨勢科技光 2019 上半年就偵測到 268 億次這類日常威脅。但不幸的是，網路上還有更多威脅等著竊取您的個人資料以便冒用您的身分、進入您的銀行帳戶、挾持您的電腦或透過其他方式來向您勒索。

為了協助您在未來一年能隨時保持安全，我們整理了 2019 年最大的一些威脅與趨勢，讓大家在邁入全新十年之際能夠特別加以留意。您將發現，未來許多最危險的攻擊都會和我們 2019 年所見的極為相似。

隨著時序邁入 2020 年，過去的原則依然適用：保持警戒、抱持懷疑、做好防護，就能讓您確保安全。

2019 年五大威脅

網路犯罪是一個混亂又詭譎多變的領域，為了從過去 12 個月的狂亂中理出頭緒，以下我們整理了消費者曾經遭遇的五種主要威脅類型：

1. 家庭網路威脅：我們的家庭越來越仰賴網路科技，有超過三分之二 (69%) 的美國家庭至少擁有一項智慧裝置：從具備語音助理功能的智慧喇叭、家庭保全系統到連網嬰兒監視器等等。然而安全上的漏洞，卻可能讓這些裝置成為駭客的鎖定目標，特別是擔任家庭網路進出閘道的路由器更是面臨重大危險。令人擔憂的是，83% 的路由器都含有可攻擊的資安漏洞。根據統計，光 2019 上半年就出現了大約 1.05 億次針對智慧家庭的攻擊。
   
2. 端點威脅：這是直接針對使用者而來的威脅，通常經由電子郵件散布。2019 上半年，趨勢科技偵測並攔截了超過 260 億次這類電子郵件威脅，約占所有網路威脅的 91%，這包括專為誘騙您點選惡意連結以竊取您個人資料或帳號登入憑證或者下載勒索病毒的網路釣魚攻擊。還有一些是透過幾可亂真的冒牌網站來誘騙您提供自己的個人資料。端點威脅有時也會使用社群媒體網路釣魚訊息，甚至是經由一些已經遭駭客植入惡意程式的正常網站來發動攻擊。
   
3. 行動裝置威脅：駭客也會攻擊智慧型手機和平板，而且甚至更為積極。行動裝置使用者通常是在不知情的狀況下下載到惡意程式，因為它們會暗藏在一些看似正常的 Android 應用程式內，例如在全球感染超過 2,500 萬台手機的 Agent Smith 廣告程式。使用者除了超級容易遭到社群媒體攻擊之外，那些使用無安全性公共 Wi-Fi 網路上網的裝置也特別危險。不管駭客的手段為何，其目標就是為了賺錢：不論是竊取您的個人資料和登入憑證、大量顯示廣告、植入勒索病毒，或是強迫裝置撥打歹徒經營的高費率付費電話號碼等等。
   
4. 網路帳戶已成為攻擊目標：近來有越來越多駭客開始盯上使用者的帳號登入憑證，因為這是進入使用者數位生活的虛擬鑰匙。從 Netflix 到 Uber，從網頁郵件到網路銀行，這些帳號的登入憑證都能拿到黑暗網路地下市場上販售，或者用來蒐集個人身分資料。而針對個人的網路釣魚攻擊是取得這類帳號登入憑證的方式之一，不過 2019 年逐漸興起了另一種方式，那就是使用自動化工具來嘗試數萬筆帳號登入憑證是否套用到您的帳戶上。從 2017 年 11 月至 2019 年 3 月底為止，這類攻擊的偵測數量高達 550 億次。
   
5. 資料外洩無所不在：能讓詐騙集團進入您網路帳號並且從事身分冒用詐騙所需的材料，都儲存在您網路帳號所屬的企業內。不幸的是，2019 年一再發生企業資料外洩的事件。截至 2019 年 11 月為止，美國有超過 1,200 起資料外洩事件，外洩的客戶資料筆數更高達 1.63 億。更糟糕的是，駭客現在還會竊取信用卡資料，他們會利用所謂的「數位盜卡」惡意程式，趁您在購物網站上輸入信用卡資料時直接加以盜取。

[延伸閱讀：就像在ATM 上安裝盜卡裝置一樣, 「Magecart」專偷線上刷卡資料 ]

2020 年有哪些需要注意的事項?

1. 智慧家庭已成為攻擊目標：
   當我們投資更多錢為家中添購更多智慧裝置時，請記住駭客也正加倍努力發動網路攻擊。因為有一項豐厚的報酬在向他們招手，那就是：利用某個暴露在外的智慧端點裝置入侵您的家用網路，進而蒐集您的個人資料和網路帳戶。或者，他們也可入侵您的保全攝影機來監控您家中情況，了解闖空門的最佳時機。此外，您被駭的裝置甚至可能被收編至殭屍網路當中，成為駭客攻擊他人的幫兇。
   
2. 網路與電話社交工程攻擊：
   專門利用使用者心理弱點的攻擊，一直以來都相當有效。相信 2020 年這類攻擊也不會缺席，不論是傳統的網路釣魚電子郵件，或是與日俱增的電話詐騙。美國民眾每天都會接到 2 億通「自動語音電話」，其中約 30% 是疑似詐騙電話。而且有時候電話詐騙也可能一轉眼就變成網路詐騙，例如那些刻意讓使用者以為自己的電腦出現問題的技術支援詐騙就是很好的例子。除此之外，歹徒也會利用社交工程技巧來詐騙錢財，例如，性愛勒索集團會宣稱他們手上握有受害者的性愛影片，並威脅要公開這些影片來要脅受害者。根據趨勢科技的偵測資料，這類攻擊從 2018 下半年至 2019 上半年成長了 319%。
   
3. 行動裝置威脅：
   2020 年須小心行動裝置威脅將越來越猖狂。這當中有許多會來自於缺乏安全性的公共 Wi-Fi 網路，這類網路可讓駭客輕易暗中監視您上網的一舉一動並竊取您的身分資料和登入憑證。甚至一些公共的充電站都有可能遭人預先植入惡意程式，美國洛杉磯郡最近即發出這樣的警告。除此之外，別忘了還有惡意行動應用程式所帶來的威脅。
   
4. 所有網路帳號都可能成為攻擊目標：
   請注意，您今日開設並儲存了個人資料的任何網路帳號，明日都可能成為駭客攻擊的目標。當然，這意味著 2020 年您必須特別留意您的網路銀行帳號。此外，您還要小心針對遊戲帳號的攻擊。讓歹徒垂涎的不光只有您的個資和登入憑證而已，遊戲內的虛擬代幣也是歹徒豐厚獲利的來源。在所有偵測到的 550 億次登入憑證填充 (credential stuffing) 攻擊當中，有 120 億次鎖定的正是遊戲產業。
5. 蠕蟲捲土重來：
   電腦蠕蟲之所以危險，在於它們會不斷自我繁殖，這讓駭客不需自己動手，攻擊就能不斷擴大。2017 年 WannaCry 勒索病毒攻擊的情況就是如此。2020 年，一個外界稱為「BlueKeep」的 Microsoft 漏洞很可能會讓同樣的情況再度重演，而且未來可能還有更多像這樣的未爆彈。
   
   

[延伸閱讀： 搜尋「Amazon」第一個連結竟連向詐騙網頁!]

如何維護安全?

由於 2020 年電腦使用者可能遭遇的網路威脅相當廣泛，因此您的防護必須面面俱到才能確保系統與資料的安全，包括：

1. 保護智慧家庭：
   部署網路監控機制、定期檢查裝置與路由器是否有安全更新、將出廠預設密碼換成高強度的密碼、將所有裝置集中在一個訪客網路上。
2. 對付資料竊取惡意程式、勒索病毒與其他蠕蟲式威脅：
   採用一套強大又信譽可靠的資安產品、定期修補電腦/行動裝置、強化密碼安全。
3. 保護行動裝置安全：
   當連上公共 Wi-Fi 網路時務必使用 VPN、在裝置上安裝一套資安軟體、僅造訪官方應用程式商店、確保裝置作業系統版本隨時保持更新、避免使用公共的充電站。
4. 保護帳號安全：
   使用一套密碼管理員來產生及保管高強度的密碼、盡可能啟用雙重認證，如此就能防範登入憑證填充攻擊，以避免他人偷偷登入您的帳號。此外，切勿在公用電腦上登入自己的網頁郵件或其他帳號。
5. 小心社交工程攻擊：
   對於不請自來的電子郵件、簡訊或社群媒體訊息，切勿輕易點選其中的連結或開啟附件檔案，千萬別在電話上提供個人資訊。
   
   

趨勢科技能提供什麼協助

所幸，趨勢科技全盤掌握了現代威脅的各種來源，提供完整的資安產品線來保護您數位生活的所有層面，從智慧家庭、家用電腦、行動裝置，到電子郵件與社群媒體等網路帳號，以及上網瀏覽。

• 趨勢科技 Home Network Security：為所有連上家用網路的裝置提供資安防護，防止網路入侵、路由器駭入、網站威脅、危險檔案下載，以及身份冒用。
  
  
• 趨勢科技PC-cillin雲端版:保護您的 PC 和 Mac 電腦，防範網站威脅、網路釣魚、社群網站威脅、資料竊盜、網路銀行威脅、數位盜卡、勒索病毒，以及其他惡意程式。除此之外，還能避免您在社群媒體上分享過多資訊。
  
• 趨勢科技行動安全防護：防範惡意應用程式下載、勒索病毒、危險網站，以及不安全的 Wi-Fi 網路。
  
• 「趨勢科技密碼管理通」：提供一個讓您安心儲存、管理及更新密碼的地方，幫您記住您的登入憑證，針對您需要登入的每一個網站和應用程式建立較長、安全、且非重複的密碼。
  
• 趨勢科技 WiFi Protection：在您連上無安全性的公共 WiFi 網路時提供虛擬私人網路 (VPN)，將您的流量加密以防範中間人 (MITM) 攻擊。
  
• 趨勢科技 ID Security (Android和 iOS)：隨時監控網路犯罪地下市集，檢查您的個人資訊是否在黑暗網路上流通，並且在發現該狀況時立即通知您。

原文出處： The Everyday Cyber Threat Landscape: Trends from 2019 to 2020

加入趨勢科技 IG 帳號, 3C 冷知識/ 3C Fun 新聞 不定時 Fun 映
💝▎每月7 日下午 4 點 , Fun 送粉絲獨享禮 ▎💝
本月送出威秀電影票十組(每組 2 張) 快進來看看 🙂