變臉詐騙（BEC）手法對駭客來說是技術門檻低且獲利性極高的企業詐騙手法，詐騙平均損失金額統計高達 400 萬台幣(相當於一棟小坪數房子)。據估計，近兩年來變臉詐騙的不法獲利總金額高達 30 億美元，對於變臉詐騙（BEC）此類低成本高收益的攻擊，將是台灣企業於 2017 年度仍極需高度重視的資安威脅風險。
變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC) ,是一種針對企業進行匯款支付詐騙的精密騙局,通常偽裝成公司內的高階經理或往來客戶的名義向公司員工寄出郵件，且網路犯罪者會事先準備好銀行帳號，再指示員工匯款。
根據「美國聯邦調查局（U.S.Federal Bureau Investigation FBI）」2015年1月至2016年6月止統計，全球已有22,000件的受害事件發生，被害金額竟高達30億美元（約1,008億台幣）。亞洲企業也成為攻擊目標 ，單一企業損失金額可達 13 萬美金;去年底趨勢科技助刑事警察局及時遏止300萬台幣落入駭客口袋,成功為企業把關駭客變臉詐騙威脅。
變臉詐騙BEC(Business E-mail Compromise）運作的三種手法
BEC(Business E-mail Compromise）詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚（Phishing）手法達成，攻擊者會建立類似目標公司的網域或偽造的電子郵件來誘騙目標提供帳號資料。在監控受駭電子郵件帳號時，詐騙者會試著找出進行轉帳及要求轉帳的對象。詐騙者通常會進行相當的研究，尋找財務高階主管變動的公司，高階主管正在旅行的公司或是進行投資人電話會議來製造機會以進行騙局。
第一個手法: 透過偽造的郵件、電話或傳真要求匯款給另一個詐騙用帳戶
這個手法也被稱為「偽造發票騙局」、「供應商詐騙」和「發票變造騙局」，通常跟有供應商關係的企業有關。詐騙者透過偽造的郵件、電話或傳真要求匯款給另一個詐騙用帳戶。
第二個手法: 詐騙者自稱為高階主管（CFO、CEO、CTO等）、律師或其他類型的法定代表
在這個手法中，詐騙者自稱為高階主管（CFO、CEO、CTO等）、律師或其他類型的法定代表，聲稱要處理機密或有時效性的事情，要求匯款至他們所控制的帳戶。在某些案例中，欺詐性的匯款轉帳要求直接到金融機構，指示要緊急發送資金到一家銀行。這種騙局也被稱為「CEO詐騙」、「企業高階主管詐騙」、「偽造身分」和「金融企業匯款詐騙」。
►《延伸閱讀》CEO 最常遭冒名發信;CFO 最常收到詐騙信-變臉詐騙案件猖獗,全球損失金額兩年飆長13倍
第三個手法：駭客入侵員工的電子郵件帳號
跟其他兩個手法類似，駭客入侵員工的電子郵件帳號，接著用此帳戶要求發票付款給詐騙者所控制的銀行帳戶。郵件送至員工聯絡人列表上所找到的多個供應商。在廠商追查發票付款狀態前，企業可能不會察覺詐騙發生。
這些騙局大多利用社交工程（social engineering ）攻擊，通常不需要進行複雜的系統滲透。跟網路釣魚詐騙不同，BEC詐騙所使用的電子郵件並非大規模寄送，以免被標記為垃圾郵件。此外，BEC詐騙會誘騙受害者轉帳給對方，通常會要求受害者快速或私底下進行。
6個小秘訣，杜絕變臉詐騙找上門！
因應近年來變臉詐騙案件不斷翻新，趨勢科技提供企業6個小秘訣，杜絕變臉詐騙找上門！
- 仔細檢查所有的電子郵件：小心來自高階主管的不尋常郵件，詐騙郵件最常使用簡短而含糊的主旨，有時甚至只有一個字，這些都可能為詐騙份子誘騙的動作。此外，針對要求資金轉移的電子郵件需加以確認是否為正確郵件。
- 提升員工防詐意識：員工往往是企業資安環節中最脆弱的一環，積極做好員工訓練，仔細審視公司政策，並且培養良好的資安習慣。
- 任何廠商變更的匯款資訊，皆必須經由公司另一位人員複核。
- 掌握合作廠商的習慣：包括匯款的詳細資料和原因。
- 使用電話做為雙重認證機制：透過電話撥打原本已登記的慣用電話號碼，做為雙重認證機制，而非撥打電子郵件當中提供的連絡資訊。
- 一旦遇到任何詐騙事件，立即報警或向165反詐騙專線檢舉。
此外，也可以使用 趨勢科技 IMSVA、HES 郵件閘道防護 預防變臉詐騙。IMSVA、HES郵件閘道防護 提供了完整的多層式安全防護，結合了企業內的虛擬裝置與選購的雲端預先過濾，能在企業網路外部擋掉絕大多數的垃圾郵件和惡意程式，並透過雲端信譽評等資料庫與網路邊境執行掃瞄程序，確保企業遠離如變臉詐騙等類型的資安威脅。
►《延伸閱讀》