新型 BEC 變臉詐騙手法,竄改薪資自動轉帳路徑

最近出現一種新的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email CompromiseHYPERLINK BEC)手法,攻擊者會誘騙收件人變更薪資自動轉帳的路徑。根據 CNBC 的報告,這類 BEC 詐騙的數量越來越多;例如位於堪薩斯市的非營利兒福機構「KVC 健康醫療系統」每個月平均會收到二到三次這類郵件。

攻擊者冒充執行長、財務長或薪資主管,將詐騙郵件寄給人資部門人員,要求該職員變更員工的銀行帳戶和轉帳資訊,使該員工的薪資直接存入偽裝帳戶。

[請參閱:不只是企業高層主管,變臉詐騙也將開始鎖定一般員工]

詭計多端的社交工程不斷上演

這種新的 BEC 手法和類似的詐騙都不需要複雜的技術手段,主要是仰賴社交工程攻擊而得逞。歹徒不必使用鍵盤側錄或遠端存取工具來入侵合法的電子郵件帳戶。

在這種新的 BEC 手法中,攻擊者會使用 Gmail 這類免費服務產生社交工程電子郵件,並且在精心製作之下,使偽裝的郵件看似一切合法正當。如同其他類似手法,BEC 攻擊者可能會利用員工博取公司高層青睞的心理,誘使收件人積極回應。

在這種攻擊中,受害者會收到精心編撰的電子郵件;通常行文簡潔有禮,但顯得有些急迫。在報告引用的一封電子郵件範例中,詐騙者要求收件人在下一次發薪之前變更入帳資訊。攻擊者也可能矇騙收件人,防止他們打電話給主管確認,例如在一封電子郵件中,攻擊者寫道「我現在要去開會」,避免收件人立即聯繫對方。

[請參閱:隨著網路安全工具持續發展,會出現更智慧的網路釣魚技術]

電子郵件詐騙影響公司營運和員工士氣

BEC 這類電子郵件詐騙一旦得逞,會給公司和員工帶來沉重負擔。

繼續閱讀

【資安新聞短評 】立陶宛男子冒充台灣知名硬體公司,詐騙Google和Facebook上億美元

Google和Facebook詐騙者認罪犯下1億美元的詐騙

一名利用變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise BEC)詐騙對Google和Facebook騙取超過1億美元的立陶宛男子在3月20日承認犯下電匯詐欺罪行。50歲的Evaldas Rimasauskas及未具名合作夥伴冒充為知名台灣硬體公司(Facebook和Google的商業夥伴)。他們精心設計的詐欺行動先從在拉脫維亞設立假硬體公司開始。接著該集團寄送假發票、合約、郵件等給高科技公司,在數年內錯誤地向他們收取數百萬美元的費用。

這些文件看起來很正常,Google和Facebook從2013年到2015年將錢匯入Rimasauskas控制的帳戶。根據報導,他透過拉脫維亞、塞普勒斯、斯洛伐克、立陶宛、匈牙利及香港的銀行洗錢

Rimasauskas同意被沒收4,970萬美元,他的宣判時間定於7月24日。他可能面臨長達30年的監禁。

繼續閱讀

《資安新聞周報》小孩愛玩GAME怎辦?/台至少200廠家被騙 鮮少破案/華裔駭客發現特斯拉Model3系統漏洞 獲獎金和車

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

資安趨勢部落格一周精選

媒體資安新聞

【臺灣資安大會直擊】防毒軟體內建AI模型開始成為駭客攻擊目標,趨勢科技要如何反制?        iThome

手機購物與銀行交易 留意4大風險  中央通訊社

華裔黑客發現特斯拉Model3系統漏洞 獲獎金和車        新浪網(臺灣)

Google Photos含有可洩露拍照時間與地點的臭蟲    iThome

華碩更新伺服器驚傳遭駭,官方回應:鎖定特定機構用戶的攻擊        iThome

駭客無所不在 資安廠建議隨時更新防毒軟體        台灣蘋果日報網

軟體更新遭下毒 華碩數百台電腦「受駭」      自由時報

駭客入侵電子郵件 假冒外商公司險詐百萬      台灣蘋果日報網

密碼借人 如同開門迎駭客 企業主損失慘重    世界新聞網

小孩愛玩GAME怎辦?快看六大忠告        三立新聞網

華裔駭進Tesla系統?獲賞同款車 雅虎奇摩

網路安全出漏洞使個資外洩 飯店、航空業者首當其衝  電子時報

金融業首次「玉山人工智慧公開挑戰賽」舉辦頒獎典禮  得獎隊伍及玉山專家熱烈交流AI實務    台灣蘋果日報

趨勢科技:網路釣魚攻擊威脅企業安全    CIO IT經理人

報稅、健保、金融、戶政、求學… 「從搖籃到墳墓」 都被一手掌握  使用合理嗎?政府恐成「隱私供應商」        聯合報

微軟資安報告,亞太區成挖礦惡意程式的重災區    科技新報網

一點就洩密 你我都是「網路透明人」  免費字典App竟然要你的GPS 就是你洩漏自己給科技巨頭        聯合報

追不到援交妹 竹科新貴駭進雲端散布性愛片  自由時報

聲稱是公司代表,詐騙犯騙取義大利數位貨幣投資者共30萬美元      Knowing

亞馬遜設防駭部隊  找白帽駭客滲透測試 自由時報

工控設備安全漏洞多 帳號管理須嚴控      自由時報電子報

去年10個最常被駭客開採的漏洞中,有8個是微軟漏洞      iThome

全台至少200廠家被騙 鮮少破案  中國時報

英國將指導囚犯寫程式以協助他們重返社會    iThome

Facebook被踢爆將6億用戶密碼存在文字檔,且2,000名員工都可瀏覽     數位時代

繼續閱讀

Google 移除 23 億個廣告、帳戶,以發佈廣告政策管理工具

Google 依據其現有和新政策,宣布移除超過二十億個不良廣告;這些廣告包括網路釣魚網址、轉售門票廣告、借貸放款廣告、加密貨幣、本地服務和第三方技術支援廣告。該公司也將為廣告商於 4 月公佈新的廣告政策,致力保護合法使用者、發佈者和廣告商,透過 Google Ads 中的政策管理工具,確保誠實、符合規範的行銷活動。

根據其部落格文章,該公司在發現欺騙或詐騙使用者的線上廣告,以及尋求成癮治療服務等「利用弱勢族群」的帳戶,會將詐欺廣告下架並取消帳戶。透過使用 330 種偵測分類的機器學習來逐頁偵測不良廣告,相較於 2017 年所終止的帳戶和廣告數,偵測數已增加了 3 倍。整體而言,Google 相當於每天移除且識別了平均 6 百萬個廣告和不良的廣告商。

在 2018 年 8 月,該公司發布了一篇限制第三方技術支援服務的部落格文章,理由是網路廣告濫用者的掠奪行為,誤導了該平台的使用者。該限制是根據與執法部門就改善詐欺活動監控和封鎖進行的協商和合作,同時確保對合法廣告商和消費者的支援。

[請參閱:跟網路安全工具 PK,網路釣魚技術愈來愈刁鑽]

為了致力解決合法線上廣告商和供應商的挑戰,Google 將發佈一個政策管理工具,可集中並引導合法廣告商,以瞭解該平台上接受哪些廣告。如果廣告商不同意廣告的禁止或刪除,政策管理工具也將提供違規的即時意見反映和申訴功能。該公司亦承諾持續與各機構和公司合作,以解決錯誤消息並移除品質不佳的網頁和網站,直指在即將到來的 2019 年印度和歐盟選舉中,推出透明度驗證工具。

繼續閱讀