Bing服務遭到釣魚郵件利用
合法服務一直是釣魚郵件覬覦的對象，畢竟釣魚郵件的組成，最關鍵、也是破綻所在，就是釣魚郵件中的超連結。本季，我們發現Bing的服務被利用於釣魚郵件的超連結轉址。
透過Bing的連結，會先將受害者導至惡意網址中繼，然後再轉至真正的惡意頁面。這個惡意頁面會直接顯示受害者的電子郵件信箱，並仿造為Gmail的登入頁面，主要是為了騙取郵件登入的帳號及密碼！比較有趣的是，輸入第一次密碼送出，頁面會更新一次，讓受害者以為沒有輸入成功；第二次在輸入時就會直接轉址至Gmail入口，這個手段可能是用來提高密碼獲取的正確性。

以假亂真的釣魚郵件
有些釣魚郵件，是拿真實通知郵件來改造，甚至還帶有提防詐騙的宣導連結，整封郵件的超連結幾乎都指向真正的網站；只有一個關鍵的超連結，會被導向真正的釣魚網站！這對於受害者或掃描機制而言，都有一定的欺騙效果。

假冒侵權警告的攻擊郵件
本季，我們觀察到冒名侵權警告的攻擊郵件。攻擊郵件製作十分精細，對於侵權的內容也舉證歷歷，看來煞有其事！但這封攻擊郵件來自Gmail，通常正式的商業往來或重大通知不會從免費信箱發送，若收到此類攻擊郵件只要冷靜判斷，便能從中察覺異常。像這樣涉及金錢、法律等重大事件的郵件，一定要從官方揭露的合法管道求證；絕對不能因為一時心急，順著郵件內容附帶的聯絡方式或超連結與對方進行接觸，或貿然下載相關文件。

冒充LINE的付款釣魚
目前台灣最常使用的通訊軟體為「LINE」，使用率高達99%，且LinePay在台灣已有1200萬用戶，因此，LINE成為釣魚郵件的假冒對象並不意外。在本季我們發現一封假冒LINE的釣魚郵件，聲稱付款有問題，要受害者點擊惡意連結更新帳戶資訊。
惡意連結表面是連往LINE的官方網站，實際連結卻是連往惡意中繼網址；這個中繼網址會先進行一次CAPTCHA人類驗證，確定不是沙箱或自動化爬蟲檢查機制後，才會將受害者帶往釣魚網站。

攻擊郵件樣本，請參考完整的「ASRC 2024 第二季電子郵件安全觀察 」

總結
有調查指出，寄發試探性質的社交工程演練郵件，可能讓員工提心吊膽增加壓力，對於識別真正的釣魚或攻擊郵件未必有幫助；反而是樣本示例的教育性質訓練有助於資安意識與識別能力的提升！釣魚或詐騙郵件都是以社交工程為基礎的攻擊手段，因此，這類攻擊很容易利用受害者好奇、害怕、時間或其他壓力的心理操作，讓受害者疏忽。
面對詭譎多變的釣魚郵件，光從郵件上的識別，有時真的難辨真假！但釣魚或詐騙郵件的通則，都是希望受害者遵循郵件提供的「管道」確認或執行某一個動作，若遇到郵件要求這樣的動作，務必從官方網站，或自行查詢官方電話進行確認或聯繫，不要直接透過郵件提供的「管道」確認，將可避開許多釣魚風險！

- 新聞稿有效日期，至2024/09/07為止

上一篇：Sophos 報告發現勒索軟體集團用竊來的資料當武器
下一篇：ASRC 2024 年第二季電子郵件安全觀察