目前，鍵盤側錄程式仍是變臉詐騙最常用來竊取受害者帳號密碼的工具，且效果良好。但是，想要利用電子郵件來散布執行檔，在今日已經不太容易，因為垃圾郵件過濾軟體通常很快就會發現這類危險郵件並加以標註。反觀 HTML 檔案沒有立即的危險性，除非該檔案被判定為網路釣魚頁面，否則並不會被標註。
傳統上，變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC)都是利用鍵盤側錄程式來從受害電腦竊取使用者的帳號密碼。但是，使用附件方式來夾帶執行檔，通常會讓使用者起疑而不會點選附件檔案，因為執行檔有很高的機率是惡意程式。因此，趨勢科技最近發現一波改用 HTML 網頁為附件的網路釣魚（Phishing）郵件出現。
圖 1：夾帶 HTML 附件檔案的網路釣魚郵件。
一旦開啟該 HTML 附件檔案，就會啟動瀏覽器並顯示如下內容：
圖 2：HTML 網路釣魚頁面。
繼續閱讀
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
中小企業大危機 趨勢科技發現駭客針對中小企業進行變臉詐騙攻擊
非法損失金額已超過六千萬 趨勢科技呼籲應提高資安意識
【2013年9月16日 台北訊】詐騙手法不斷翻新，駭客技術也日漸精進，從詐騙個人財物進階到詐騙公司行號。雲端資安大廠趨勢科技(TSE:4704)發現， 近期駭客鎖定資安意識較薄弱的中小企業進行變臉詐騙攻擊，運用中小企業時常需要與國外有時差的客戶進行聯繫的特性，從中攔截郵件，一人分飾兩角的與買賣雙方進行溝通，目前累計不法損失金額高達台幣六千多萬元。趨勢科技呼籲全台中小企業應立即提高資安意識，以免公司遭受財物損失成為下一位受害者。
圖一：趨勢科技台灣暨香港區總經理 洪偉淦(右一)與台灣區企業客戶部技術顧問 黃源慶(左一) 於會中分享趨勢科技如何運用堅實技術協助中小企業防禦變臉詐騙攻擊。
趨勢科技近日發現，駭客鎖定IT人力較匱乏的中小企業進行變臉詐騙攻擊，主要鎖定的中小企業均是從是進出口貿易、電子商務、海外雙邊貿易…等，而攻擊主要分為三個階段：社交工程攻擊、潛伏監控與駭客詐騙。駭客先鎖定中小企業進行社交工程攻擊，主要利用台灣中小企業仍有多數使用免費的 web mail (如：HiNet mail，Gmail，Yahoo! mail…等)與海外買家進行國際貿易的特性，先透過寄發假冒為免費email系統管理員的郵件至特定的承辦人員信箱，待承辦人員點選開啟郵件後，即下載可竊取企業 email 的帳密的惡意程式並取得權限，駭客便可開始進行email 內容的潛伏監控。
圖二：駭客假扮為免費email系統管理員發出社交工程攻擊信件
運用買賣雙方有時差且聯繫不易的特點，駭客便開始見縫插針進行email潛伏監控，直到買賣雙方開始交涉付款細節時，駭客便開始浮出水面並從中攔截email，一人分飾兩角，與買賣兩方進行雙面溝通，讓買家付款到駭客詐騙帳號，當確認詐騙金額到手後就此消失，直到買家付款後遲遲未收到貨，進而直接與賣家電話聯繫，才發現買賣雙方均掉入駭客精心設計的陷阱，損失大筆的貨款與貨品，中小企業不得不慎。
圖三：駭客針對中小企業進行變臉攻擊詐騙的手法
針對以上的情形，趨勢科技技術總監戴燊表示：「由於大型企業的資安多半較為嚴密，駭客近期開始針對資訊安全意識相對較低的中小企業進行攻擊，且社交工程攻擊手法，更是讓收件者疏於查證而輕易點選，防不勝防。建議公司行號經手特定敏感資訊的人員如業務、財務、人資等，更需對此類來路不明的信件，以及其中的附件檔應抱持戒慎的心態，以免公司遭受不必要的財物損失。」
面對社交郵件工程攻擊，趨勢科技建議中小企業主應注意以下事項：