網路釣魚 Phishing - 資安趨勢部落格

【2019 年資安預測】被偷的帳號都被拿來做什麼?累積里程、製造假評論、灌票…(6-1)

2019 年 01 月 02 日2019 年 01 月 11 日趨勢科技 TrendMicro

漏洞攻擊套件的活動將持續減少,網路犯罪集團回歸到一個更基本的漏洞那就是：人心的弱點。近年來，網路釣魚攻擊的數量開始增加，從趨勢科技所攔截的網路釣魚相關網址數量就能看出端倪。
過去一年網路犯罪集團從各種資料外洩當中累積了大量的帳號登入憑證，根據 Ponemon Institute 和 Akamai 所做的一份報告指出，透過自動化方式將某處偷來的同一組帳號密碼嘗試登入多個其他熱門網站的密碼填充攻擊 (credential stuffing) 手法情況日益嚴重，我們將看到網路犯罪集團利用這些偷來的帳號密碼註冊一些累積里程和點數回饋方案、註冊一些假鄉民帳號來從事網路宣傳、張貼假評論來操縱一些消費性入口網站、或者在一些社群民調上灌票等等。

當不斷有少年駭客回嗆:「不是我厲害,是你的密碼設定太弱了!」時,「Iloveyou」或「 1234 」等弱密碼卻仍年年蟬聯傻瓜密碼排行榜,網友的安全意識顯然需要加強。

另外,趨勢科技也預測 2019 年將看到一些更細膩或更新的數位勒索手法出現。例如，青少年或青年遭到非錢財方式的勒索案例將會增加。

趨勢科技對 2019 年的資安預測是根據我們內部研究專家對當前與新興科技、使用者行為、市場潮流以及這些因素對威脅情勢的影響所做的分析。我們考量其主要影響範圍以及科技與政治變革的擴散特性，將這些預測分成幾大領域,並分期刊出。

網路犯罪回歸到一個基本漏洞：人心弱點;網路釣魚將取代漏洞攻擊套件,成為主要攻擊管道

網路釣魚攻擊 在 2019 年將大幅成長。今日，軟體與作業市場占有率分布較以往更加零散，沒有單一作業系統能獨占一半以上的市場 (已不再像五年前的情況)。因此，網路犯罪集團也開始回歸到一個更基本的漏洞那就是：人心的弱點。的確，近年來，網路釣魚攻擊的數量開始增加，從我們所攔截的網路釣魚相關網址數量就能看出端倪。

已攔截的網路釣魚相關網址數量逐年攀升 (根據趨勢科技 Smart Protection Network™ 全球威脅情報網 2018 年第三季的統計資料)。

繼續閱讀

【資安漫畫】什麼是網路釣魚?何謂 Phishing? (同場加映:魚叉式網路釣魚Spear Phishing)

2018 年 12 月 24 日2024 年 10 月 03 日趨勢科技 TrendMicro

對許多人來說，聖誕節和新年等節日是購物和花錢的季節。但在網路犯罪分子眼裡則有別的意思 – 他們認為這是進行網路釣魚偷竊個資的黃金季節。請參考你愛的聖誕禮物,網路釣客也愛~年底十大網路釣魚最愛購物頁面。

網路釣魚通常是指企圖透過電子郵件、通訊軟體來獲得你個人資訊以竊取你的身份認證。大多數網路釣魚會企圖讓自己看起來像是一般行為，實際上卻是用於犯罪活動。它們看起來就像是來自銀行、信用卡公司、信譽良好的公私立機構的正式通知，通常在訊息中會夾帶惡意連結，引導收件者至看起來與官方極為相似的山寨網站，要求提供帳號密碼等資訊。

網路釣魚（Phishing）的起源

網路釣魚（Phishing）的起源可回溯至 1970 年代的飛客 (phreaking) 入侵手法，這種手法利用簡單的兒童玩具哨子就能非法使用電話系統，至今依然惡名昭彰。網路釣魚延續了電話飛客手法的傳統，同樣都是爲獲取實質利益而將專業技術用於不正當的用途。相關報導

Phishing The Cap'n Crunch Whistle 玉米片附贈的玩具哨子,因為與“網路釣魚”有關,而身價大漲 — 一個玉米片附贈的玩具哨子能製造出核准通話的 2600 Hz 音頻，成爲飛客 (phreaking) 盜撥電路的主要工具。

繼續閱讀

【手機病毒】Google Play出現假銀行應用程式,進行簡訊釣魚（SMiShing）詐騙

2018 年 11 月 12 日2018 年 12 月 22 日趨勢科技 TrendMicro

偽裝成行動認證服務的假銀行應用程式 Movil Secure, 會收集簡訊和電話號碼。當安裝者手機收到新簡訊時– 包含行動銀行應用程式用來確認或授權銀行交易的簡訊，它會將簡訊寄件者和訊息內容傳送到C&C伺服器和一支特定的電話號碼。趨勢科技懷疑取得的資料會被用在進一步的簡訊釣魚（SMiShing）攻擊，或被用來從銀行客戶身上收集銀行帳密。

有許多銀行都在為自家的行動應用程式提供更多功能及升級，而且也因為銀行應用程式所帶來的便利性，讓全世界有越來越多用戶使用行動銀行服務。不過隨著新金融技術的大量使用以及使用者會尋找自己銀行的應用程式和服務，也為詐騙份子帶來了更多機會。最新的一個例子是應用程式Movil Secure。我們在10月22日在Google Play上發現這個惡意應用程式，是針對西班牙語系用戶的簡訊釣魚（SMiShing）詐騙的一部分。

Movil Secure是個假銀行應用程式，會偽裝成行動認證服務。開發者下了很大的功夫來讓使用者認為這是個合法軟體，包括具備專業外觀的品牌及精細的使用者介面。我們還發現此一個開發者名下有其他三個類似的假應用程式。Google確認了這些應用程式已經從Google Play移除。

Movil Secure在10月19日上架，六天內被下載了超過100次。這可能是因為它聲稱跟跨國的知名西班牙銀行集團Banco Bilbao Vizcaya Argentaria（BBVA）有關，該銀行以專業技術聞名，正版的行動銀行應用程式被認為是業界最好的之一。

假應用程式（見下圖1）充分利用了BVVA的知名度，偽裝成該銀行服務用於身份管理和交易授權的行動認證服務。但仔細檢查後發現它並不具備這些功能。

圖1、該應用程式聲稱它是行動認證應用程式

繼續閱讀

新型態網路釣魚:以熟人回信手法散發病毒, 教育、金融及能源產業為攻擊目標

2018 年 10 月 17 日2018 年 10 月 17 日趨勢科技 TrendMicro

雖然，絕大多數的網路釣魚(Phishing)行攻擊動本質上都相當單純，也容易辨識，因為它們通常都假冒某個合法機構發信，然後隨附惡意檔案或者在內文當中包含惡意連結。不過，我們在今年 9 月發現了一波垃圾郵件採用了一種更精密的網路釣魚手法。這波垃圾郵件使用了預先駭入的電子郵件帳號，以回覆現有電子郵件對話串的方式來散布惡意程式。由於該郵件是發到既存的對話串當中，因此很容易讓收件人不知不覺上當。等到受害者發現自己遭到網路攻擊時，通常為時已晚。