許多釣魚網頁會放在使用欺騙性網域名稱的網站或用網站產生器製作的網頁。然而最近因為有了僅需幾分鐘即可設定好的工具表單，讓製作釣魚網頁的難度大大降低。
一直以來，網路都是各行各業不可或缺的工具，在面臨新冠狀病毒(COVID-19,俗稱武漢肺炎) 情爆發的現在更是如此，許多公司都依靠網路連線來完成在家工作。不幸的是，網路犯罪分子也會利用網路的可用性來從使用者身上賺取金錢。最常見的手段之一是利用網路釣魚(Phishing)。
網路釣魚騙局會利用收集敏感資訊（如信用卡號、社會保險號和帳戶帳密等）的網站服務。許多都放在使用欺騙性網域名稱的網站或用網站產生器製作的網頁。然而最近因為有了表單（僅需幾分鐘即可設定好的工具），讓釣魚網頁的製作變得更加容易。
延伸閱讀: 駭客跟著你一起在家上班! 登入憑證網路釣魚「疫」常激增
13 個合法表單服務網站被惡意建立釣魚表單
以下是常被用來建立釣魚表單的表單產生服務。但要注意的是這些本身是合法、非惡意的網站。不過就如同其他合法平台一樣，它們也會被惡意使用：
- 123formbuilder.com
- docs.google.com
- form.simplesurvey.com
- formpl.us
- forms.gle
- forms.office.com
- formtools.com
- smartsurvey.co.uk
- supersimplesurvey.com
- survey.survicate.com
- surveygizmo.com
- survs.com
- zfrmz.com
只要幾分鐘，甚至不需用到任何程式能力，網路犯罪分子就可以利用這些網站來製作表單。接著這些網頁就會跟多數網路釣魚活動一樣透過電子郵件散播。
偽裝成Microsoft Outlook通報郵件，要求更新過期密碼
偽裝成語音訊息的連結,一點選就到表單釣魚網站
有些網路犯罪分子還會在郵件裡冒充成業務人員，將釣魚連結偽裝成語音訊息或文件。我們發現Gizmo Survey常被用於這類釣魚郵件。
一旦開啟，這些郵件內的假語音訊息或文件就會將使用者帶到這些表單託管的釣魚網站。
偽裝成電子郵件登入或驗證頁面的表單服務
跟其他釣魚網站一樣，這些表單會試著收集如電子郵件地址和密碼之類的資訊。它們會偽裝成電子郵件登入或驗證頁面。
雖然網路釣魚登入頁面所製作的表單都是利用範本跟塊狀設計,但使用者看到合法表單產生器所製作的表單，仍可能會錯誤地信任該網站。
圖14-15. 上：正常的Adobe登入頁面。下：表單構成的假Adobe登入頁面
表單產生器為何成為網路犯罪分子的首選？
除了表單產生器外，網路釣魚操作者通常還會利用假網域和網站產生器來製作釣魚網頁。下表詳細地比較了這三者，並列出表單產生器為什麼成為首選的原因以及使用者該如何發現異常之處：
| 假網域 | 網站產生器 | 表單產生器 | |
| 定義 | 建立一個新網域並複製熱門網站的名稱和外觀。這是用來欺騙人們以為自己在正確的網站。 | 使用wix.com或weebly.com等網站產生服務。這些服務可以便利地建立具有專業外觀的釣魚網頁，其中有些看起來就跟熱門網站相似。 | 濫用如Microsoft Forms之類的表單服務來建立簡單的詐騙用釣魚頁面，有時甚至是假的登入頁面 |
| 例子 | amaazoon[.]xyz go0gle[.]fun | outlookmail[.]weebly[.]com googledrivefiles[.]wixsite[.]com | forms[.]office[.]com/Pages/ResponsePage.aspx?id=rand0mnU docs[.]google[.]com/forms/d/e/rand0mnU |
| 創作難度 | 需要程式能力和網站託管才能建立網站 | 需要一些HTML編寫能力和設計技能，讓釣魚網站更具說服力 | 只需掌握製作表單的基本知識 |
| 資源資源 | 需要大量時間建立。購買網域也要花錢，因此這種作法需要大量資源。 | 需要大量時間來建立專業外觀的網站。有些服務需要付費才能建立網站，有些則不用。儘管如此，比起從頭建立假網域，有些網路釣魚操作者還是偏好使用這種做法， | 建立釣魚網頁所需的時間通常很少。一個人只需幾分鐘就可以輕易地建立一個。取決於服務，通常建立表單不需要花錢。這對網路釣魚操作者來說很有利，因為他們可以建立大量的網路釣魚表單。 |
| 使用者如何發現 | 徹底檢查網址以確認網站是否合法 | 在地址列中注意是否出現”weebly[.]com”或”wix[.]com”等網域名稱，而非原來的網域 | 請記住，公司通常不會用表格進行密碼更新或電子郵件認證 |
製作釣魚表單只要幾分鐘內,通常不需花費一毛錢
我們在2020年中資安綜合報告裡提到，我們在2020上半年偵測到近700萬筆不重覆的釣魚網址，比起2019下半年所偵測到的500萬筆網址還增加了28%。這顯示出網路釣魚仍是網路犯罪份子最喜歡的武器。與其他威脅的情況類似，這些詐騙攻擊的操作者想辦法能夠用更少的時間和金錢來啟動詐騙，同時還可以保持有效，甚至更加強大。從一開始的從頭建立網站，網路釣魚操作者發展成使用網站產生器來建立網頁。到了今天，他們也開始使用表單。
表單可以在幾分鐘內產生，通常不需花費一毛錢，並且可以以看起來專業 – 至少有基本水準。由於表單產生器網站本身並非惡意，因此使用者也可能傾向於信任它們，並且有時網域與釣魚網站要求的資訊有關（如用於收集Microsoft帳號資訊的Microsoft Forms頁面）。因此，這些表單幾乎不需要加工即可完成工作。
因為網路犯罪分子所用攻擊手法的不斷演變，使用者可以徹底檢查要求提供帳密的頁面（無論是網站還是表單）來保護自己。安全解決方案也可以幫助偵測和阻止這些威脅。
五個遠離釣魚表單步驟
使用者可以透過以下步驟來保護自己，避免遭受釣魚表單的危害：
1.切勿給出密碼和其他敏感資訊。表單和調查問卷是用於回復、意見、反饋和申請目的，它們不能代替登入頁面。
2.馬上回報釣魚表單。如果表單要求使用者填寫帳密和其他敏感資訊，請回報給表單產生服務商。回報表單的連結通常位於網頁底部：
3.一定要仔細檢查寄件者是否合法。如果是不明或可疑的寄件者，請勿開啟任何連結。
4.如果發現可疑電子郵件，請回報給公司的InfoSec或IT安全團隊。
5.確保所有應用程式的安全設定保持更新。
建議使用以下安全解決方案來抵禦網路釣魚：
企業用戶:
- 趨勢科技 Cloud App Security™ – 增強Microsoft Office 365及其他雲端服務的安全性。它使用電腦視覺和即時掃描來找出會竊取帳密的釣魚網站。它還能夠防止變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)攻擊及其他電子郵件威脅。
- 趨勢科技Deep Discovery Email Inspector – 透過針對已知和未知攻擊的即時掃描和先進分析技術來保護使用者抵禦網路釣魚和勒索病毒攻擊。
一般用戶:
PC-cillin 電腦/手機同時保護，迅速阻擋最新網路威脅，立即下載，享安心！
網際網路是一個廣闊、開放的世界，充滿了各種讓生活更加便利的方法。話雖如此，關鍵是要意識到這些方法也可能被惡意使用或當作誘餌。因此，我們必須始終採取措施來保護好我們的資料，不要將它的安全視為理所當然。
@原文出處：Tricky ‘Forms’ of Phishing 作者：Paul Miguel Babon