一封冒稱健保局的「二代健保補充保險費扣繳辦法說明」,導致萬筆中小企業個資遭竊;一封偽裝銀行交易紀錄信件,導致南韓爆發史上最大駭客攻擊;996 名公僕因為一封標題為「李宗瑞影片，趕快下載呦！」信件, 以上是因好奇心中了網路釣魚陷阱著名案例。
垃圾郵件是藉著博取收件者的信任感所設下的圈套。最近常見的手段即是偽裝成宅配業者寄出不在府通知郵件。例如：「您有包裹未取。詳情請點擊以下網址」等的文字記載。企圖誘導收件者進入不正當的網站，此手法近來頻頻可見。
在去年年底，一個名為InstaAgent的應用程式愚弄了數千名iOS和Android使用著，給出它們Instagram的帳號憑證好來知道誰在看自己的個人檔案。但其實這應用程式所真正做的是將這些登錄憑證發送到一個未知伺服器，劫持使用者帳號來任意發表圖片。InstaAgent經過了精心的設計（至少在社交工程（social engineering ）的角度上），在Apple App Store下架前達到近五十萬的下載次數。
現在看起來，它的開發者進行了第二次的嘗試，有著一切相同的元素，只是用了不同的名稱：InstaCare。這個應用程式做跟InstaAgent一樣的事情，它會竊取使用者資料並劫持帳號 – 而且再一次地，它達到一樣的成功。據導，InstaCare甚至在某些國家進入Apple App Store下載排名榜的最高點。在本文撰寫時，該應用程式似乎已經被下架，但想想其可下載期間所達到的使用者數量，它的確成功了。
InstaAgent，InstaCare以及類似的騙人應用程式證明社群媒體本身仍是有效的社交工程（social engineering ）誘餌。並不能完全怪罪使用者希望知道誰看了自己的個人檔案，到Apple App Store和Google Play上搜尋類似的關鍵字就會發現這是個歹徒聚寶盆，有許多其他應用程式也宣稱有類似功能。
應該要再重申一次，到目前為止，沒有合法而安全的應用程式可以讓社群媒體使用者知道誰看了其社群媒體帳號。除了LinkedIn的個人檔案檢視通知外，社群媒體網站和應用程式既不提供也不支援這種服務。
一位會計師收到一封來自公司執行長的電子郵件,要他等待來自合作夥伴的電話，警告不要將郵件分享給任何人看，因為擔心監管單位會反彈。該公司最終因為匯款詐騙而損失48萬美元。
BEC詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚（Phishing）手法達成
對抗企業郵件受駭,該如何開始？
如果你公司的高階主管透過電子郵件要求你為業務支出匯款，你會怎麼做？
網路犯罪分子會奸詐地計畫社交工程（social engineering ）和入侵電腦計畫來誘騙員工匯款，企業因為郵件詐騙而遭受嚴重的危險。此一新興的全球性威脅被稱為企業郵件受駭（business email compromise，BEC），光在2013年10月到2015年8月間就已經有79個國家的8,179家公司受害。
BEC 詐騙為網路犯罪分子帶來可觀的收入。美國聯邦調查局光是過去一年就因為這類型的電子郵件而發出多次警告。美國聯邦調查局指出其目標是會與外國供應商合作或會定期進行電匯付款的公司。在去年二月，回報的受害者總數達到2,126家，損失達2億1,500萬美元。到了八月，受害者人數已激增到8,179家，損失增加到近8億美元。
你要怎麼保護自己的公司不要成為上述數字的一部分？
【離奇客訴~】就算中毒 也要看庫妮可娃的真面目!?
當年紅極一時的安娜庫妮可娃 (Anna Kournikova) 病毒 在2001年 2月11 日發病,已經屆滿十五歲，每次當我想到這個病毒，我就想到一個故事，這是有關一通來自我們使用者因系統遭該病毒感染而打來的電話。那位使用者非常生氣，但並不是因為感染而生氣,而是我們的防毒軟體移除了病毒,讓他頗為不悅。因為他還是很想看到庫妮可娃的照片。很顯然地，感染的問題已經是其次，客戶生氣的原因是因為最後沒有看到想看的照片。以下是該病毒的電子郵件訊息：
Subject line: “Here you have, :o)”
Message text: “Hi: Check this!”
Attachment: “AnnaKournikova.jpg.vbs”.
這就是社交工程 ( Social Engineering )陷阱活生生的案例！
社交工程（social engineering ）陷阱技巧在過去十五年已經有長足的進步。十年前被庫妮可娃電子郵件病毒感染的使用者，現在對於不明來歷的電子郵件普遍都存有戒心。因此，今日的戰場已經轉到網站上，所以歹徒總是想盡辦法要讓使用者點選惡意連結。現代的社交工程（social engineering ）通常會利用使用者「非要某種東西才可以」的強迫心態或是「可能覺得某某東西很有趣」的好奇心理。
在強迫心態方面，歹徒會讓使用者覺得他們非要什麼不可，然後再提供一個方便的連結，使用者只要點一下就能獲得。這個非要不可的東西，通常是一項安全更新、一個視訊解碼器，或者是類似的東西。這類技巧通常都會巧妙運用使用者的恐懼心理 (例如，不更新就可能遭到駭客攻擊)。
而在好奇心方面，歹徒會讓使用者覺得所提供的內容很有趣，因此會很想看。因為人們總是喜歡發掘新的事物，並且和好朋友分享 (最典型的例子就是 2008 年的那一波 （安潔莉娜裘莉與布來得比特偷拍相關新聞）)。
這些年來，即使手法已經有所不同，但社交工程（social engineering ）攻擊的基本原理還是離不開人性的弱點，這些弱點在過去十年並無太大改變，未來也不太可能有所差別。
您知道嗎，本部落格有史以來點閱率最高的文章是哪一篇嗎？就是 2008 年有關安潔莉娜裘莉垃圾郵件的那篇。因為一直有人在 Google 上搜尋安潔莉娜裘莉的照片和影片，進而搜尋到該文章的連結。
而且，都已經十五年了，到現在還有人在搜尋安娜庫妮可娃的照片，這就是為何社交工程 ( Social Engineering )陷阱到現在都還歷久不衰的原因。
原文參考:安娜，十歲生日快樂！(Happy 10th Birthday, Anna!) David Sancho (資安威脅高級研究員) 著
PC-cillin 2016雲端版已有增加對勒索軟體 Ransomware加密行為的防護機制，可預防檔案被勒索軟體惡意加密
趨勢科技PC-cillin雲端版 ，榮獲 AV-TEST 「最佳防護」獎,領先28 款家用資安產品防毒軟體 ,可跨平台同時支援安裝於Windows、Mac電腦及Android、iOS 智慧型手機與平板電腦，採用全球獨家趨勢科技「主動式雲端截毒技術」，以領先業界平均 50 倍的速度防禦惡意威脅！即刻免費下載
《 想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚 》
《提醒》將滑鼠游標移動到粉絲頁右上方的「已說讚」欄位，勾選「搶先看」選項,最新貼文就會優先顯示在動態消息頂端，讓你不會錯過任何更新。
*手機版直接前往專頁首頁，下拉追蹤中，就能將粉絲專頁設定搶先看。
▼ 歡迎加入趨勢科技社群網站▼
