BEC - 資安趨勢部落格

網路釣魚進化成 AI 語音釣魚,偽裝老闆聲音騙走 770 萬台幣!

2019 年 09 月 09 日2019 年 09 月 10 日趨勢科技 TrendMicro

變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC) 是一種針對企業進行匯款支付詐騙的精密騙局,通常偽裝成公司內的高階經理或往來客戶的名義向公司員工寄出郵件，且網路犯罪者會事先準備好銀行帳號，再指示員工匯款。北市某貿易公司業務經理的電郵帳號遭仿冒，宣稱上游供應商要求變更匯款帳戶，逕行匯款，損失折合台幣近百萬元。
不過令人更憂心的是,針對企業的網路釣魚( Phishing ) 匯款詐騙已經進化到語音釣魚( Vishing )了!

《華爾街日報》報導，新型的詐騙透過 AI 合成的語音，一家英國能源公司主管以為接到德國總公司執行長來電，因為對方操著德國口音，語調也跟他熟悉的德國總公司 CEO 幾乎一樣，因此不疑有他，就把款項轉了過去, 被騙走了 22 萬歐元（近台幣 770 萬元）。

「媽.我被打了,快送錢來」這個台灣人熟悉的詐騙模式,會不會將來也被 AI 機器人取代，用更逼真的對話、語調進行更高效率的詐騙?

調查報告指出，從 2013 年到 2017 年，語音詐騙增長了 350%，其中每 638 個詐騙電話中就有一個是機器合成的。

繼續閱讀

微軟、PayPal和Netflix是2019年第一季最常被盜用進行網路釣魚攻擊的品牌

2019 年 05 月 21 日2019 年 05 月 20 日趨勢科技 TrendMicro

網路釣魚(Phishing)及社交工程（social engineering ）詐騙仍然是網路安全專家最關注的問題，因為駭客持續地利用這些伎倆來誘騙電子郵件收件者。品牌盜用是種舊但惡名昭彰的社交工程手法，持續地被利用著，趨勢科技Cloud App Security在2018年就偵測並封鎖了350萬次此類攻擊。Vade Secure一份新出爐的報告進一步證明了網路釣魚攻擊持續使用了品牌盜用，這份報告列出2019年第一季網路釣魚攻擊最常盜用的品牌。

[延伸閱讀：Office 365被入侵帳號在3月份被用來寄出150萬份電子郵件威脅]

微軟是最常被盜用的品牌

儘管微軟釣魚網址數量從2018年第四季以來已經減少了4.5%，但仍然名列前茅。Vade Secure認為這是因為Office 365帳密可以被用來賺錢，為攻擊者提供進入整個Office 365平台的進入點。他們也可以利用被入侵帳號來進行攻擊。

繼續閱讀

輕鬆按個鈕就能確保貴公司的 Gmail 安全

2019 年 05 月 17 日2019 年 04 月 22 日趨勢科技 TrendMicro

Google 約在 15 年前推出了 Gmail，而這項網頁式郵件服務現在已經達到每月15 億用戶的規模。Gmail 除了在個人使用者之間非常流行之外，同時也是 Google 的 G Suite 企業套裝服務當中很重要的一環。

Gmail 之所以能夠如此盛行，其中一個很重要的原因就是安全性。Google 採用了多重防毒引擎來偵測一些單靠病毒碼很難偵測的惡意程式。此外，其認證功能 (如兩步驟認證)、單一簽入，以及電子郵件安全措施 (如強制使用 TLS) 都是 Gmail/G Suite 內建的安全措施。

儘管如此，電子郵件在今日仍有一些難以應付的威脅，例如：變臉詐騙攻擊或稱為商務電子郵件入侵，簡稱 BEC)、未知惡意程式、零時差漏洞，都是今日全球電子郵件使用者所面臨的頭號威脅。G Suite 所內含的標準防護，是專為防範已知惡意程式而設計，但這些卻只占所有惡意程式的 5% 左右。因此，採用額外的第三方防護，對保護企業非常重要，能讓您防範其他 95% 的惡意程式與電子郵件威脅。

趨勢科技 Cloud App Security™ 除了能保護 Google Drive 之外，現在也能保護 G Suite 當中的 Gmail。這是一套採用 API 為基礎的服務，可保護 Gmail、Microsoft® Office 365™ Exchange™ Online 與其他雲端檔案分享服務。它具備多重進階威脅防護，能擔任 G Suite/Office 365 內建電子郵件與檔案掃瞄之後的第二道防護。光 2018 年，Cloud App Security 就攔截了 890 萬次 Office 365 內建防護所漏掉的高風險電子郵件威脅。

趨勢科技 Cloud App Security 能為 Gmail 提供三大威脅防護：

繼續閱讀

承包商來催款,才驚覺175萬美元都匯給假廠商!

2019 年 05 月 08 日2019 年 05 月 06 日趨勢科技 TrendMicro

BEC詐騙造成俄亥俄州教會175萬美元的損失

變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱BEC)持續危害了許多組織。根據美國聯邦調查局的報告，僅在2018一年就讓企業損失了12億美元。而BEC詐騙也正在從傳統企業受害者擴展到了非營利組織與宗教團體，最新的一起案例就跟教會有關。

在4月17日，俄亥俄州布倫瑞克的聖安布羅斯天主教會發現自己成為BEC詐騙的受害者。他們接到承包商Marous Brothers工程公司因為修建計畫未付款帳單的聯繫後發現。這些帳單總額為175萬美元 – 與 BEC 詐騙取走的金額相同。

繼續閱讀

《網路釣魚》9 名員工誤點網址,導致35 萬名客戶個資曝光

2019 年 05 月 07 日2019 年 04 月 10 日趨勢科技 TrendMicro

美國奧勒岡州 DHS 遭遇網路釣魚攻擊

美國奧勒岡州的 Department of Human Services (DHS) 近期對外公告，有超過 35 萬名客戶的健康資訊遭到曝光。經奧勒岡州 DHS 資安團隊調查發現，研判資料外洩的起因是：有九名員工點擊了網路釣魚 URL，使員工的電子郵件帳戶資訊與信箱遭到入侵。

〔延伸閱讀: 變臉詐騙(BEC)將深入基層職員,員工沒看穿的騙局,造成的損失可能比病毒還大! 〕

據新聞稿指出，奧勒岡州 DHS 員工是在 2019 年 1 月 8 日收到魚叉式網路釣魚的電子郵件，而遭到入侵的信箱內據說有將近 200 萬封電子郵件。直到 1 月 28 日，才確定有客戶的個人健康資訊或受保護的健康資訊 (PHI) 遭到未經授權人士的存取。奧勒岡州 DHS 表示，雖然他們阻止了更進一步對入侵信箱的未授權存取，但卻無法證實是否有任何 PHI 遭到竊取或濫用。

客戶遭外洩的 PHI 屬於健康保險隱私及責任法案 (HIPAA) 的保護範圍，此外，該事件依奧勒岡州身分竊取保護法 (Identity Theft Protection Act) 亦屬違法。該資料外洩中可能遭到入侵的資訊包括下列項目：姓氏和名字、地址、生日、社會安全碼、個案編號，以及其他用於管理 DHS 計畫的資訊。

網路罪犯為了入侵電子郵件帳戶及各種其他服務，使用越來越多樣化的方式來發動網路釣魚攻擊。美國特勤局在 1 月分享了可能連結到加密文件的魚叉式網路釣魚電子郵件相關資訊。使用者點擊 URL 時，會出現假的 Office 365 登入要求表單，要求其輸入電子郵件帳戶憑證。使用者一旦採信，網路罪犯便能取得其電子郵件帳戶的存取權。

繼續閱讀