Skip to main content

《網路釣魚》9 名員工誤點網址,導致35 萬名客戶個資曝光

美國奧勒岡州 DHS 遭遇網路釣魚攻擊

美國奧勒岡州的 Department of Human Services (DHS) 近期對外公告,有超過 35 萬名客戶的健康資訊遭到曝光。經奧勒岡州 DHS 資安團隊調查發現,研判資料外洩的起因是:有九名員工點擊了網路釣魚 URL,使員工的電子郵件帳戶資訊與信箱遭到入侵。

《網路釣魚》9 名員工誤點網址,導致35 萬名客戶個資曝光

〔延伸閱讀: 變臉詐騙(BEC)將深入基層職員,員工沒看穿的騙局,造成的損失可能比病毒還大!


據新聞稿指出,奧勒岡州 DHS 員工是在 2019 年 1 月 8 日收到魚叉式網路釣魚的電子郵件,而遭到入侵的信箱內據說有將近 200 萬封電子郵件。直到 1 月 28 日,才確定有客戶的個人健康資訊或受保護的健康資訊 (PHI) 遭到未經授權人士的存取。奧勒岡州 DHS 表示,雖然他們阻止了更進一步對入侵信箱的未授權存取,但卻無法證實是否有任何 PHI 遭到竊取或濫用。

客戶遭外洩的 PHI 屬於健康保險隱私及責任法案 (HIPAA) 的保護範圍,此外,該事件依奧勒岡州身分竊取保護法 (Identity Theft Protection Act) 亦屬違法。該資料外洩中可能遭到入侵的資訊包括下列項目:姓氏和名字、地址、生日、社會安全碼、個案編號,以及其他用於管理 DHS 計畫的資訊。

網路罪犯為了入侵電子郵件帳戶及各種其他服務,使用越來越多樣化的方式來發動網路釣魚攻擊。美國特勤局在 1 月分享了可能連結到加密文件的魚叉式網路釣魚電子郵件相關資訊。使用者點擊 URL 時,會出現假的 Office 365 登入要求表單,要求其輸入電子郵件帳戶憑證。使用者一旦採信,網路罪犯便能取得其電子郵件帳戶的存取權。

延伸閱讀:「一封郵件騙走一棟房子」老闆,別再成詐騙集團金雞母 ! 2018年趨勢科技首創 AI 技術防禦BEC 詐騙

解決方案

會竊取電子郵件帳戶憑證,進而掌控信箱的網路釣魚電子郵件仍四處流竄中。在 2018 年,Cloud App Security for Microsoft Office 365 解決方案共偵測並攔截了 3,530,495 封採用高級欺騙技巧的網路釣魚電子郵件,像是使用有著合法外觀的假登入頁面來採集使用者憑證。

為避免成為憑證網路釣魚攻擊和其他進階電子郵件威脅的受害者,組織確實應考慮採用進階的資安技術。

Cloud App Security,此為額外的資安層,可用於現有的電子郵件閘道,並可使用人工智慧 (AI) 與電腦視覺技術,協助偵測及攔截憑證網路釣魚的攻擊。如果員工收到疑似網路釣魚的電子郵件,系統將對電子郵件進行寄件人、內容和 URL 聲譽的分析。接著,利用電腦視覺和 AI 對其餘的 URL 進行檢查,查看合法登入頁面的品牌元素、登入表單,以及其他網站元件是否遭到冒充。

[延伸閱讀「您的信箱已滿」駭客說的!運用AI(人工智慧)看穿鎖定Office 365網路釣魚]

除了使用進階的電子郵件解決方案,組織也可透過告知員工面對電子郵件威脅時的最佳實務,以及利用我們的免費網路釣魚模擬和使用者訓練,進行員工訓練。

[延伸閱讀趨勢科技 2018 年 Cloud App Security 報告: 針對進階電子郵件威脅的進階防禦]

◎原文來源:: Health Information of 350,000 Oregon DHS Clients Exposed After Phishing Attack