新型 BEC 變臉詐騙手法，竄改薪資自動轉帳路徑

最近出現一種新的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email CompromiseHYPERLINK BEC)手法，攻擊者會誘騙收件人變更薪資自動轉帳的路徑。根據 CNBC 的報告，這類 BEC 詐騙的數量越來越多；例如位於堪薩斯市的非營利兒福機構「KVC 健康醫療系統」每個月平均會收到二到三次這類郵件。

攻擊者冒充執行長、財務長或薪資主管，將詐騙郵件寄給人資部門人員，要求該職員變更員工的銀行帳戶和轉帳資訊，使該員工的薪資直接存入偽裝帳戶。

[請參閱：不只是企業高層主管，變臉詐騙也將開始鎖定一般員工]

這種新的 BEC 手法和類似的詐騙都不需要複雜的技術手段，主要是仰賴社交工程攻擊而得逞。歹徒不必使用鍵盤側錄或遠端存取工具來入侵合法的電子郵件帳戶。

在這種新的 BEC 手法中，攻擊者會使用 Gmail 這類免費服務產生社交工程電子郵件，並且在精心製作之下，使偽裝的郵件看似一切合法正當。如同其他類似手法，BEC 攻擊者可能會利用員工博取公司高層青睞的心理，誘使收件人積極回應。

在這種攻擊中，受害者會收到精心編撰的電子郵件；通常行文簡潔有禮，但顯得有些急迫。在報告引用的一封電子郵件範例中，詐騙者要求收件人在下一次發薪之前變更入帳資訊。攻擊者也可能矇騙收件人，防止他們打電話給主管確認，例如在一封電子郵件中，攻擊者寫道「我現在要去開會」，避免收件人立即聯繫對方。

BEC 這類電子郵件詐騙一旦得逞，會給公司和員工帶來沉重負擔。

公司必須償還因詐騙而遭竊的金錢。英國一家個人金融和商業銀行 TSB Bank plc 最近宣布退還詐騙款項，補償受害客戶授權匯入詐欺帳戶的金額。
在這項宣布之前，TSB 去年已因詐欺和各種問題蒙受龐大損失，金額高達數百萬之譜。

同時，電子郵件詐騙可能導致薪資遲付，造成員工周轉不便，甚至在一些極端的案例中，還可能導致員工遭到解雇。

網路釣魚、魚叉式網路釣魚和 BEC 電子郵件詐騙仍不斷增加。趨勢科技預測：除了企業高層以外，BEC 詐騙攻擊者會進一步鎖定公司較基層的員工。單憑一般的網路安全最佳實務和解決方案，恐怕已不足以抵禦這類手法；但仍有先進的資安技術，可協助使用者和組織偵測威脅。

趨勢科技趨勢科技 Cloud App Security™和 ScanMail™ Suite for Microsoft® Exchange™ (SMEX) 採用寫作風格 DNA 技術，可偵測 BEC 和類似詐騙手法的冒名電子郵件，方法是透過人工智慧 (AI) 分析使用者以往的電子郵件，辨識寫作風格的基本特徵，並與疑似偽造的電子郵件進行比較。這項技術搭載機器學習(Machine learning,ML)，內含真實寄件人的寫作特徵，可據以驗證電子郵件內容的寫作風格是否正常。

除了進階電子郵件安全解決方案，培養網路安全意識和推行電子郵件威脅最佳防禦實務，也有助於阻止詐騙者的攻擊行動。