社交工程（social engineering ） - 資安趨勢部落格

假扮宅配,冒充系統管理員…網購族和上班族必學防止社交工程信件上鉤7步驟

2016 年 11 月 03 日2016 年 11 月 03 日趨勢科技 TrendMicro

一封冒稱健保局的「二代健保補充保險費扣繳辦法說明」,導致萬筆中小企業個資遭竊;一封偽裝銀行交易紀錄信件,導致南韓爆發史上最大駭客攻擊;996 名公僕因為一封標題為「李宗瑞影片，趕快下載呦！」信件, 以上是因好奇心中了網路釣魚陷阱著名案例。
垃圾郵件是藉著博取收件者的信任感所設下的圈套。最近常見的手段即是偽裝成宅配業者寄出不在府通知郵件。例如：「您有包裹未取。詳情請點擊以下網址」等的文字記載。企圖誘導收件者進入不正當的網站，此手法近來頻頻可見。

繼續閱讀

“誰在看你的社群網站個人檔案? “詐騙應用程式變身再出擊，再次成為熱門app

2016 年 04 月 22 日2016 年 04 月 21 日趨勢科技 TrendMicro

InstaAgent換名為InstaCare，再次成為熱門下載應用程式

在去年年底，一個名為InstaAgent的應用程式愚弄了數千名iOS和Android使用著，給出它們Instagram的帳號憑證好來知道誰在看自己的個人檔案。但其實這應用程式所真正做的是將這些登錄憑證發送到一個未知伺服器，劫持使用者帳號來任意發表圖片。InstaAgent經過了精心的設計（至少在社交工程（social engineering ）的角度上），在Apple App Store下架前達到近五十萬的下載次數。

現在看起來，它的開發者進行了第二次的嘗試，有著一切相同的元素，只是用了不同的名稱：InstaCare。這個應用程式做跟InstaAgent一樣的事情，它會竊取使用者資料並劫持帳號 – 而且再一次地，它達到一樣的成功。據導，InstaCare甚至在某些國家進入Apple App Store下載排名榜的最高點。在本文撰寫時，該應用程式似乎已經被下架，但想想其可下載期間所達到的使用者數量，它的確成功了。

InstaAgent，InstaCare以及類似的騙人應用程式證明社群媒體本身仍是有效的社交工程（social engineering ）誘餌。並不能完全怪罪使用者希望知道誰看了自己的個人檔案，到Apple App Store和Google Play上搜尋類似的關鍵字就會發現這是個歹徒聚寶盆，有許多其他應用程式也宣稱有類似功能。

應該要再重申一次，到目前為止，沒有合法而安全的應用程式可以讓社群媒體使用者知道誰看了其社群媒體帳號。除了LinkedIn的個人檔案檢視通知外，社群媒體網站和應用程式既不提供也不支援這種服務。

繼續閱讀

【新興騙局:BEC 變臉詐騙】專門入侵企業高階主管郵件帳號,假交辦事項 ,真匯款詐財

2016 年 02 月 18 日2017 年 08 月 07 日趨勢科技 TrendMicro

一位會計師收到一封來自公司執行長的電子郵件,要他等待來自合作夥伴的電話，警告不要將郵件分享給任何人看，因為擔心監管單位會反彈。該公司最終因為匯款詐騙而損失48萬美元。

BEC詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚（Phishing）手法達成

對抗企業郵件受駭,該如何開始？

如果你公司的高階主管透過電子郵件要求你為業務支出匯款，你會怎麼做？

網路犯罪分子會奸詐地計畫社交工程（social engineering ）和入侵電腦計畫來誘騙員工匯款，企業因為郵件詐騙而遭受嚴重的危險。此一新興的全球性威脅被稱為企業郵件受駭（business email compromise，BEC），光在2013年10月到2015年8月間就已經有79個國家的8,179家公司受害。

BEC 詐騙為網路犯罪分子帶來可觀的收入。美國聯邦調查局光是過去一年就因為這類型的電子郵件而發出多次警告。美國聯邦調查局指出其目標是會與外國供應商合作或會定期進行電匯付款的公司。在去年二月，回報的受害者總數達到2,126家，損失達2億1,500萬美元。到了八月，受害者人數已激增到8,179家，損失增加到近8億美元。

你要怎麼保護自己的公司不要成為上述數字的一部分？

繼續閱讀