釣魚網站竊取個資案件層出不窮，現在釣魚信件捲土重來，持續騙取被害者的網站登入帳號密碼等等資料。趨勢科技日前接獲回報，發現幾起釣魚信件的案件。 以往釣魚信件常直接將釣魚網站的惡意網址連結置於內文中，或將惡意連結偽冒為正常網址連結，誘使受害人信任而連線至釣魚網站，進而騙取受害人帳號密碼等個資。 「釣魚信件」運作模式
|
分類: 網路釣魚 Phishing
駭客如何反將組織一軍?
伺機而動：駭客如何反制防護策略並用於攻擊
在運動電影、戰爭故事和犯罪情節當中，總會出現下列主軸：知己知彼，百戰百勝。
人們在層層設定 (包括網路安全領域) 中，採用了這種戰術，且通常成功率很高。安全研究人員不斷努力徹查並瞭解駭客使用的技術，以便打造可防禦特定威脅的目標式防護。不過，大多數人都沒有發現到，在防護端另一側的敵人，也正發展出相同的策略趨勢。
惡意的駭客與白帽駭客一樣，都持續精進自己的技術。再者，現在有些攻擊者並不會採用已知的系統漏洞，反而想利用組織部署的惡意行動封鎖防護措施，來反將組織一軍。
這些安全措施本應讓消費者與企業用來保護最重要的資料與內容，為何反被網路罪犯作為攻擊武器？接下來，讓我們來看看目前駭客會使用的幾個狡猾技術。
員工平日訓練有素? 駭客總有辦法突破心防
許多企業的安全防禦基礎之一，是對員工進行專業的特殊培訓。這有助員工瞭解如何找出具有攻擊徵兆的惡意活動，並掌握自己在公司整體資料防護中所扮演的個別角色。許多的培訓課程都教導員工，除非獲得授權人或團體的許可，否則都不要提供個人或公司的敏感詳細資料。
對此，駭客可偽造冒牌電子郵件，引誘受害者點選會干擾內部系統的惡意連結。
擬定這個策略後，駭客即開始利用網路釣魚（Phishing），該技術會依靠仿真的訊息，說服受害者提供敏感資訊。在這類攻擊當中，攻擊者可能會偽造來自權威機構 (例如銀行或執法部門) 且看似合法的訊息。
在某些案例中，當攻擊者鎖定特定企業的成員時，駭客會竭盡所能地瞭解這些對象，並偽造出一封與他們高度相關的訊息。其中可能包括該對象的姓名、公司職稱和其他詳細資料，以吸引閱信者的目光，並誘使他們點選惡意連結或足以干擾系統的附件。 繼續閱讀
騙取 Google 帳號存取權限的新式網路釣魚郵件正夯
最近出現了大量專門騙取 Google 帳號存取權限的新式網路釣魚郵件，其會存取受害人的電子郵件信箱和聯絡人，進一步詳細資訊，請參閱 The Verge、Quartz 和 Ars Technica 網站。這一波網路釣魚是駭客大規模竊取使用者帳號存取權限最惡毒的手法。
「Google Docs」連結暗藏危機！一點開帳號全都露
在這波攻擊當中，受害者會收到一封看似正常的電子郵件，裡面附了一個「在 Docs 中開啟」(Open in Docs) 的按鈕。此按鈕背後是一個完全正常的連結，它會連上 Google 的 OAuth 認證服務。駭客會先設計好一個不肖應用程式，然後經由網路釣魚電子郵件散布前述連結來誘騙使用者在 Google 的 OAuth 服務上授權應用程式存取使用者的帳號。
首先，歹徒會假借分享文件的名義，冒充受害者認識的聯絡人發一封信到受害者的 Gmail 信箱。信件內含一個連上正牌 Google 帳號驗證網頁的連結，頁面上會列出使用者所擁有的全部帳號。接著，該網頁會請使用者選擇一個帳號，並詢問使用者是否願意開放存取權限給「Google Docs」的應用程式。然而，一旦使用者授權給該應用程式，該程式就能存取其電子郵件信箱和通訊錄，不僅能讀取信件，還能利用其名義發信。接著，該程式會讀取受害者的通訊錄，然後再用同樣的手法，發信給通訊錄中的每一個聯絡人。藉由這種複製方法，這個不肖程式短期內就能散布得非常廣。
這項技巧非常高明，因為歹徒不需在電子郵件當中夾帶惡意檔案。而且因為這個連結是指向 Google 的服務，因此一般過濾軟體也不會加以攔截。所以，要防範這類攻擊，非常依賴使用者自己的安全意識。
《延伸閱讀》:Gmail 用戶當心!熟人分享的 Google Docs 連結,一點瞬間帳號被盜用
「Google Defender」宣稱可以保障使用者的帳號安全，但其實是新型的網路釣魚手法！
一般的網路釣魚攻擊，目標都是希望駭入使用者的電腦。但這類網路釣魚的目標，卻是進入使用者的 Google 帳號。
我們曾經見過一個叫「Pawn Storm」的駭客團體使用過這類技巧。在那次攻擊中，駭客設計了一個名叫「Google Defender」的不肖應用程式，宣稱可以保障使用者的帳號安全，但其實正好相反！
Pawn Storm 的攻擊同樣也是利用使用者對 OAuth 服務的不了解。當駭客的目標是您的 Google 帳號時，歹徒的攻擊就很難防範，也很難偵測。
《延伸閱讀》:登入憑證網路釣魚,網路間諜集團滲透企業基礎架構的跳板
真假大對決:網路釣客針對LinkedIn、 PayPal 、Apple、LINE的網路釣魚技倆
儘管網路釣魚是最古老的網路詐騙手法之一，但至今仍是企業和個人頭痛的問題。事實上，其數量似乎仍在不斷成長。根據網路釣魚防治工作小組 (Anti-Phishing Working Group) 的報告，2016 年估計高達 1 億以上的用戶，因為網路釣魚信件而被導向一個散布 Locky勒索病毒 的網站。網路犯罪集團不斷假冒各種知名服務，例如 Netflix 影音網站的用戶即曾經成為 網路釣魚攻擊的目標，許多人都被騙走了帳號和密碼。
⊙延伸閱讀:勒索病毒再度盯上追劇族,利用Netflix 帳號產生器當誘餌
有鑑於網路釣魚如此盛行，使用者務必學會如何分辨網路釣魚郵件。儘管犯罪集團會盡可能讓網路釣魚郵件看起來像真的一樣，但使用者仍有一些蛛絲馬跡可循。以下提供幾個假冒全球知名網站的網路釣魚郵件真實案例來說明使用者該注意哪些地方：
案例 1：LinkedIn -歹徒覬覦該社群網站的企業員工個人資訊
LinkedIn是一個專業人士聚集和建立人脈的社群網站，也因此成了網路犯罪集團覬覦的重要目標，歹徒覬覦它擁有上億用戶的企業員工的個人資訊。
iPhone被扒走,新手機傳來:”您遺失的裝置已經找到了，請點這裡查看….” 竟是網路釣魚騙Apple ID!
我的一位朋友在街上被人扒走了他的 iPhone 手機。像這樣的狀況，在巴西這類國家的大城市裡，實在是司空見慣。他後來又新買了一支手機，為了方便起見，仍然沿用原來的電話號碼。一開始並沒有什麼異樣，直到他發現自己的 Facebook 密碼被人篡改。
所幸，他的 Facebook 帳號有綁定電話號碼，因此才能救回帳號。不過這件事不太尋常，因為扒手竟然會進入受害者的 Facebook 帳號。歹徒為何對受害者的 Facebook 帳號有興趣？小偷行竊通常只是為了擁有某樣東西或者拿去變賣。災難還沒結束，隔天，我的朋友在他新的手機上收到了一封網路釣魚（Phishing）簡訊。
整起事件令人聯想到的是，傳統犯罪與網路犯罪的界線似乎開始變得模糊，尤其，傳統竊賊和網路犯罪集團未來若彼此合作，其犯罪手法將變得更加複雜。
這是一封葡萄牙文的簡訊，意思大概是說：「親愛的使用者，您遺失的裝置已經找到了，請點選這裡來查看它上次所在的位置：」。訊息後面還附上連結：hxxp://busca-devices.pe.hu。經過我們查證，這是一個網路釣魚網頁，會要求使用者輸入 Apple ID 登入憑證。
後來我們又上網查了一下這隻失竊手機最後的位置，官方 iCloud 網站確實顯示其最後位置就是手機被偷的地點。
圖 2：要求使用者輸入 Apple ID 登入憑證的網路釣魚網頁。
解析歹徒犯案手法 繼續閱讀