一封假冒銀行交易的網路釣魚信件,導致南韓爆發史上最大駭客攻擊,這就是APT 目標攻擊最愛採用魚叉式網路釣魚攻擊手法。魚叉式網路釣魚針對的是公司內部的個人或團體。電子郵件會包含目標對象的相關資訊，想辦法盡可能看起來真實。在大多數情況下，這些郵件不包含惡意軟體。因此它們通常可以通過大多數垃圾郵件和網路釣魚過濾軟體。
作者：Vic Hargrave
網路釣魚在網際網路的威脅環境裡是種始終存在的危險。在我的部落格文章 – 對抗釣魚郵件中，我提到了你可以如何做來對抗傳統的網路釣魚（Phishing）。傳統指的是，這些郵件利用社交工程技術來讓你點入郵件裡通往惡意網站的連結，你可能會被要求輸入有價值的個人資料 – 信用卡號碼、帳號登錄資料等等。
正如我之前所指出的，這些攻擊很容易偵測。大多數瀏覽器和電子郵件客戶端都提供某種程度的保護。當然，像PC-cillin 2013雲端版這樣的安全解決方案也在封鎖已知惡意網站，打擊網路釣魚（Phishing）方面做了很好的工作。
但在過去一年裡，趨勢科技威脅研究人員觀察到，魚叉式網路釣魚（Phishing）的趨勢正在上升。根據趨勢科技安全報告 – 「魚叉式網路釣魚郵件：APT攻擊最愛用的誘餌」，它在二〇一二年二月到九月間所收集的資料顯示，有91％的目標攻擊用到魚叉式網路釣魚攻擊手法，誘騙受害者打開惡意檔案或網站。
魚叉式網路釣魚看起來像什麼
和傳統撒下大網，希望達到受害者數量最大化的網路釣魚（Phishing）不同，魚叉式網路釣魚針對的是公司內部的個人或團體。電子郵件會包含目標對象的相關資訊，想辦法盡可能看起來真實。在大多數情況下，這些郵件不包含惡意軟體或我之前提過的網路釣魚郵件品質。因此它們通常可以通過大多數垃圾郵件和網路釣魚過濾軟體。
如果你在安全或業務相關部落格上讀過魚叉式網路釣魚（Phishing），可能會讓你認為這種攻擊只限於公司內部的人。但趨趨勢科技的垃圾郵件(SPAM)威脅研究員 – Jon Oliver跟我分享了一些魚叉式網路釣魚（Phishing）的有趣案例，將會讓你有新的想法。第一個是來自Verizon的通知郵件，第二個似乎是來自美國國稅局的通知。
這些郵件看起來很像真的，不是嗎？國稅局那封簡直讓人嚇壞了。很多人會被騙去點入這些偽造郵件內的連結，但這樣做的後果比以前更可怕。隨著越來越多惡意攻擊套件在網路犯罪地下世界內流通和使用（像是黑洞漏洞攻擊包），只需要一指點入魚叉式網路釣魚郵件內的一個連結，你的瀏覽器就會載入惡意軟體，進而危害到你的電腦。
如何處理路上掉下來的魚叉
解決這一切問題有簡單而低科技的作法，就是絕對不要點入寄送給你的電子郵件連結。如果不點入連結，你就不會被送到惡意網站。就是這麼簡單。
相對地，你可以直接連絡那些號稱寄送電子郵件給你的單位，去確認你的帳號狀態。可以直接打電話去問或是透過你確知的網址去直接連到該單位的網站。不要從電子郵件裡複製。如果那些是惡意網址，那麼你將它複製貼到瀏覽器上還是會跟直接點入是一樣。
如果你必須點入電子郵件中的連結，確保只對預期收到的電子郵件這樣做。像是當你申請檔案分享或社群網路等雲端服務時，這些服務通常會發送電子郵件讓你點入連結以確認身份。這些確認郵件通常會在幾分鐘之內送達，所以你會知道它是真的。
當一切都說了也做了，如果你想在網路上保持安全還是要小心。只要有疑問就不要點郵件內的連結。
＠原文出處：Careful With Those Email Clicks
想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚
◎ 歡迎加入趨勢科技社群網站
