雖然網路釣魚(Phishing)是一種相對單純的社交工程詐騙，但這並不表示網路犯罪集團不會持續加以改進並試驗各種新式手法。
最近，網路釣魚出現了兩種新的發展趨勢：
- 其一是專挑 Microsoft Office 365 系統管理員下手
- 其二是利用預先駭入的帳號來散發網路釣魚郵件。
這兩項技巧確實提高了網路釣魚的成功機率，因為在缺乏全方位機器學習(Machine learning,ML)資安技術的幫助下，受害者有時真的很難辨別真假。
[延伸閱讀：Cybercriminals are making use of HTTPS for phishing attacks]
利用假警示通知誘騙 Microsoft Office 365 系統管理員
傳統上，網路釣魚攻擊的對象大多是一般使用者。不過，這也讓駭客只能取得一般受害者的檔案及其權限所及的區域。根據 Bleeping Computer 的報導指出，網路犯罪集團最近開始發送一些以 Microsoft Office 365 系統管理員為對象的網路釣魚郵件，這類攻擊一旦得逞，歹徒就能進而掌握企業機構的 Office 365 網域和帳號。
這波網路釣魚攻擊利用的是假冒 Office 365 警示通知的伎倆。這些經過精心設計且內含正牌 Office 365 標誌的假警示，大多謊稱一些系統管理員必須馬上處理的緊急事件，例如：公司軟體授權到期通知。這類假冒的電子郵件，通常會提供連結來要求系統管理員立即登入以處理相關事宜。想當然耳，這類連結會指向一個要求使用者輸入 Microsoft 登入憑證的網路釣魚頁面。
歹徒若取得了 Office 365 的系統管理權限，企業的後果將不堪設想，最顯而易見的就是歹徒將可看到所有使用者的信箱。另一種可能發生的情況是，網路犯罪集團可在受害機構的網域內建立一些新的使用者帳號，接著再利用這些帳號來發送更多網路釣魚郵件。而這些網路釣魚郵件由於是來自公司內部網域，因此使用者將非常難以分辨真偽。
利用預先入侵的帳號來從事網路釣魚的案例正逐漸增加
除了瞄準系統管理員帳號之外，網路犯罪集團也開始利用一些預先駭入的一般使用者帳號來從事網路釣魚，這樣的技巧被稱為「橫向網路釣魚」(lateral phishing)。根據 Barracuda Networks 的報告指出，每 7 家企業機構就有 1 家曾經遇過這類網路釣魚攻擊 (累積收件人數目超過 10 萬)。這些收件人當中，約有 40% 是同事，其餘則包含了各種不同的對象，從企業合作夥伴到受害帳號的聯絡人等等。
橫向網路釣魚是一項相當高明的社交工程（social engineering ）技巧，因為歹徒利用的是一般正常的帳號來發信，因此即使是最小心的收件人，也可能不會察覺自己收到的是惡意網路釣魚郵件。
網路釣魚攻擊防範最佳實務原則
隨著網路釣魚攻擊日益精密，妥善確保企業系統與端點裝置的安全，顯得比以往更加重要。雖然千變萬化的網路釣魚攻擊並無單一方法可以解決。不過，事實證明，以下最佳實務原則確實能達到不錯的效果。
- 認識網路釣魚攻擊的樣貌。不尋常的電子郵件地址、大量的文法錯誤，以及萬用且適合大量散發的訊息內容，都是使用者應該注意的典型網路釣魚徵兆。
- 盡量避免下載附件檔案或點選郵件內的連結，即使郵件來自信賴的來源。如前面所言，網路犯罪集團越來越喜歡利用預先駭入的電子郵件帳號來散發網路釣魚郵件。因此，使用者應盡量避免點選連結及下載附件檔案，特別是看似可疑或莫名其妙的郵件。
以機器學習技術為基礎的趨勢科技解決方案
光是使用者每天面對的電子郵件數量，就足以讓逐一檢查、過濾每封郵件變成一項煩人又不得已的工作。所幸，今日的一些資安產品，如：趨勢科技 Cloud App Security™解決方案，能有效偵測即使是最逼真的網路釣魚郵件，讓使用者不必大費周章逐一確認每封收到的郵件。它採用機器學習(Machine learning,ML)技術來進行寄件人、內容及網址的信譽評等分析，然後再結合電腦視覺與人工智慧 (AI) 來檢查剩餘的連結是否有造假的跡象。除此之外，還可偵測郵件內文與附件檔案中的可疑內容，並提供沙盒模擬惡意程式分析與文件漏洞攻擊偵測。