駭客針對數個人道救援組織及非政府組織發動了網路釣魚攻擊，包括了聯合國兒童基金會（UNICEF）、聯合國世界糧食計劃署以及其他知名組織如紅十字會與紅新月會國際聯合會。Lookout的研究人員揭示了這波網路釣魚攻擊。
這波攻擊活動從2019年3月以來就一直在進行，用來託管惡意軟體的兩個網域與之前也託管過惡意軟體的IP區塊及ASN（自治系統編號）有所關聯。
駭客所用的釣魚網頁包含了偵測使用者是否使用行動裝置的程式碼，這樣就能夠顯示特定內容給行動裝置。密碼欄位也包含了鍵盤側錄功能，所以即便網站訪客沒有完成登入程序，駭客也能夠取得密碼。再將密碼和使用者的郵件地址一起傳送到命令和控制（C&C）伺服器。
為了讓釣魚活動更加有說服力，一旦在假登入頁面上輸入帳密，使用者就會被導向看似正常的PDF或其他類型文件。假網頁還使用了SSL憑證，其中有六個憑證在11月前仍然有效 – 根據Lookout的說法，這表示這波活動可能仍在進行中。
帳密釣魚仍是被廣泛利用的攻擊模式，根據我們的研究，這類攻擊佔了趨勢科技Cloud App Security在2018年所偵測高風險郵件威脅總數的四成 – 有越來越多攻擊涉及了Microsoft Office 365（在此事件裡被作為登入頁面）。
抵禦社交工程攻擊
社交工程有許多種形式，其中有許多依靠的是對人們如何思考和行動的了解。這類騙局被證明對攻擊者來說相當有利，因此大受歡迎。以下是能夠幫助組織保護自己來對抗社交工程攻擊的最佳實作：
- 電子郵件中也包括了大量的社交工程攻擊。所以使用者應該避免跟攻擊者可能利用的元素進行互動，例如惡意附件檔和釣魚網址。
- 在使用電子郵件或其他形式的通訊時，請檢查可疑元素。例如，沒有前因就出現的發票收據可能就是社交工程攻擊的跡象。
[延伸閱讀：更多防禦網路釣魚攻擊的方法]
為了加強安全防護能力並進一步保護其使用者，組織可以考慮使用趨勢科技 Cloud App Security™之類的安全產品，此解決方案使用機器學習(Machine learning,ML)來偵測和封鎖網路釣魚攻擊。如果員工收到疑似網路釣魚的郵件，它會先經過寄件者、內容和網址信譽評比分析，接著用電腦視覺和AI技術來檢查其餘網址，確認網站內是否有造假的元素。該解決方案還可以檢測郵件本文和附件檔內的可疑內容，並且具備了沙箱惡意軟體分析和文件漏洞攻擊偵測等技術。
@原文出處：Phishing Campaign Targets Humanitarian and Other Non-Governmental Organizations
