<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/10-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">當檢視電子郵件、下載手機應用程式以及使用 ChatGPT 時，都有可能會遭遇惡意病毒或程式碼的攻擊，使用這些工具時必須格外注意安全問題。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>在檢視電子郵件時，發現夾帶的檔案蘊含惡意病毒？在新聞上看到剛剛下載的手機 App，可能含有惡意程式，會盜取手機資料？甚至連最近火紅的 ChatGPT 都出現仿冒網站，裡面藏有惡意程式碼？</p>
<p>&nbsp;</p>
<p>在網路成為主要交流媒介的現代，蘊藏許多網路釣魚的詐騙活動。2021 年，威訊通訊（Verizon ）的資料外洩調查報告（DBIR）指出，有 36％ 的資料外洩事件都是由網路釣魚引起。攻擊者偽裝成合法的組織或服務，例如銀行、網路支付平臺、社交媒體網站等，引誘使用者點擊連結、提供個人資訊。一旦使用者照做，攻擊者就能取得敏感資訊，從而進行不法活動，例如盜用帳戶、進行金融詐騙、盜竊身分等。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/10-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">網路釣魚藉由擬真的官方網站與非法連結，來獲取個資。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>網路釣魚最早可追溯到 1990 年代。當時，一群駭客在美國線上（America Online, AOL）聊天室創建了與系統管理員相似的帳號，告知使用者帳號出現問題，並要求他們提供信用卡號碼。</p>
<p>&nbsp;</p>
<p>如今，網路釣魚的類型，可以根據對象和管道細分為語音釣魚（Voice Phishing）、簡訊釣魚（SMS Phishing）、即時通訊釣魚（IM Phishing），以及針對特定個人或機構的魚叉式釣魚（Spear Phishing）等。</p>
<p>&nbsp;</p>
<p>其中，「社交工程」是當前網路釣魚最常見的攻擊手法。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>善用人心的社交工程，淪為網路釣魚攻擊手法</b></span></h2>
<p>國立臺灣大學資訊工程學系蕭旭君副教授表示，社交工程泛指利用人類心理與人際關係的攻擊手法，也就是透過欺騙或誘導，讓受害者提供機密資訊，或進行不安全的操作（如安裝惡意程式），讓攻擊者透過這些機密資訊獲利。</p>
<p>&nbsp;</p>
<p>利用社交工程進行網路釣魚時，攻擊者通常會在電子郵件寄送惡意連結，引導用戶連到假冒的釣魚網站。這些網站的網址和頁面，可能都跟我們經常使用的網站十分相似。另外，也可能在電子郵件中夾帶具有惡意軟體的附件。</p>
<p>&nbsp;</p>
<p>蕭旭君副教授引述 2006 年的一份知名研究，說明網路釣魚攻擊之所以如此猖獗且成功，主要是因為受害者疏於注意、缺乏基本資安知識。此外，研究還發現，約有 25％ 的使用者，在上網時沒有確認瀏覽器的位址欄、狀態欄、安全指示資訊的習慣，這讓攻擊者能夠藉由模仿可信任網站（例如官方網站、購物平臺）的外觀，從視覺上欺騙使用者提供個資。</p>
<p>&nbsp;</p>
<p>在這份知名研究發表後的將近 20 年間，網路釣魚的防禦逐漸受到企業和政府機關重視，並開始進行「社交工程演練」，例如隨機寄發社交工程郵件與簡訊，並記錄使用者「開啟郵件」、「點閱簡訊連結」、「點閱郵件附件或連結」等行為。</p>
<p>&nbsp;</p>
<p>不過，在 2021 年，臺灣有 65 個政府機關共同參與社交工程演練，結果顯示有 46 個機關開啟郵件，占演練機關數量的 70.8％；參演機關人員開啟郵件比率為 4.1％；有 41 個機關的人員點閱連結或附件，占演練機關數量 63.1％，比率依舊偏高，顯示大眾對社交工程攻擊的防護意識仍要加強。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>利用「防護停看聽」保護個資，避免社交工程攻擊</b></span></h2>
<p>那麼，該如何避免「做得跟真的一樣」的社交工程攻擊呢？</p>
<p>&nbsp;</p>
<p>國家資通安全研究院侯猷珉主任表示，電子郵件社交工程攻擊的本質就是詐騙攻擊，只不過攻擊管道是電子郵件，攻擊對象是使用者的電腦或手機等設備。至於防範攻擊的不二法門，就是提升資安意識。</p>
<p>&nbsp;</p>
<p>侯猷珉主任建議民眾透過「防護停看聽」降低受駭風險，也就是在使用電子郵件軟體前，先確認使用環境安全；收到郵件後，必須注意郵件主旨是否與本身業務相關——如不相關，則不建議開啟，如需開啟，應確認郵件來源。</p>
<p>&nbsp;</p>
<p>蕭旭君副教授則指出，現在的攻擊者會結合新技術，使得攻擊變得更難識別。舉例來說，攻擊者會利用社交媒體平臺創建假帳號或盜用帳號，以竊取、蒐集外洩的個資，創建更真實的假身分和情境，還有些釣魚網站會申請 HTTPS 憑證，藉此欺騙對資訊安全較不熟悉的使用者。</p>
<p>&nbsp;</p>
<p>近期，爆炸性演進的生成式 AI 也淪為攻擊者的利器，例如使用 ChatGPT 生成釣魚信件和釣魚網站，或使用 Midjourney 生成假身分的照片，大幅降低攻擊成本。</p>
<p>&nbsp;</p>
<p>蕭旭君副教授進一步表示，釣魚手法層出不窮，攻擊者能夠加以利用、變造的細節非常多，民眾往往防不勝防。因此，建議民眾保持警覺，養成多多查證的習慣，一點點的「多疑」，或許就能救下個資與荷包。</p>
<p>&nbsp;</p>
<p>具體方法包括確認網址和電子郵件的來源真偽，想想為什麼服務方需要索取不必要的權限和資訊（比如為什麼拿個折價券也要填寫身分證字號？為什麼手機的手電筒應用程式需要存取網路、收發簡訊的權限？）或是安裝能夠過濾惡意網站、辨別未知來電的軟體。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>手機 App 也成網路釣魚工具，第三方下載充滿風險</b></span></h2>
<p>除了使用電子郵件進行網路釣魚，透過第三方手機 App 攻擊的數量亦不斷增長。2021 年，資安業者 Check Point 進行網路安全報告調查，數據顯示，在全球 46％ 的企業中，至少有 1 名員工曾用手機下載惡意軟體。</p>
<p>&nbsp;</p>
<p>美國和歐盟曾相繼向美國科技巨頭施壓，希望開放第三方 App 下載，卻遭蘋果指控這些第三方 App 可能攜帶勒索軟體，或誘騙使用者下載假冒的流行 App，藉此竊取登錄憑證並監視使用者。</p>
<p>&nbsp;</p>
<p>一般來說，官方應用程式商店都受到嚴格的審核與監控，但第三方應用程式商店中的 App 可能存在各種欺詐、破解、病毒、安全漏洞、惡意廣告等問題，威脅用戶的隱私和安全。不過，即使是從官方來源下載 App，也不一定能保證安全，因為網路上有大量釣魚網站，那些網站下載的 App都有可能被植入惡意代碼。</p>
<p>&nbsp;</p>
<p>一些高風險 App 可能會向用戶索取沒必要的權限，例如，一個偽裝成遊戲的 App可能會要求用戶授予簡訊、相機、位置、通訊錄、通話紀錄等權限。這些授權一旦完成，就有可能被用來竊取用戶個人資料。</p>
<p>&nbsp;</p>
<p>然而，關掉這些權限不一定能夠完全保護用戶的個資安全。有些 App 在開始運行前，就已經取得了所需的權限，關閉權限只是防止 App 再次申請，但已經取得權限的 App 仍然可以進行惡意活動。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>勒索軟體攻擊激增！該如何應對資安危機？</b></span></h2>
<p>值得注意的是，網路釣魚經常是勒索軟體攻擊的起點。當攻擊者寄送含有惡意連結或附件的電子郵件，而受害者點擊連結、開啟附件時，惡意程式就會自動被下載並執行。</p>
<p>&nbsp;</p>
<p>2021 年，世界經濟論壇（World Economic Forum, WEF）發布的全球風險報告指出，勒索軟體攻擊事件較前一年增加了 435％，攻擊次數更是倍數成長。而資安業者 Sophos 針對超過 5,400 個組織的調查報告也稱，2021 年因勒索軟體攻擊而造成的損失高達 185 萬美元。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/10-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">全球受到勒索軟體攻擊的人越來越多，我們該怎麼自保呢？</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>台灣電腦網路危機處理暨協調中心（TWCERT/CC）林志鴻組長表示，過往的勒索病毒是藉由加密機敏檔案、勒索受害者交付贖金後，再提供解密金鑰供受害者解鎖檔案。不過，隨著資安意識提升，企業組織開始採取備份、加密資料、定期維護系統等防禦措施，以降低資料加密勒索的成功率。因此，現今的勒索集團不但會加密檔案，還會以公開機敏資料的手段要脅企業組織交付贖金。</p>
<p>&nbsp;</p>
<p>此外，過去受到勒索軟體攻擊時，初始的識別特徵是系統開始大量加密檔案，導致硬碟、CPU 或記憶體的使用率急遽增加。但是，林志鴻組長指出，如今部分勒索病毒使用的是「間歇加密演算法」（Intermittent Encryption），也就是只加密檔案最關鍵的部分，不但可以提高加密效率，還能迴避現有勒索軟體的偵測機制，甚至直接造成檔案損毀。</p>
<p>&nbsp;</p>
<p>那麼，一般民眾該如何因應勒索病毒帶來的資安危機呢？以事前預防來看，台灣電腦網路危機處理暨協調中心建議民眾提高資安意識，設置防火牆、使用防毒軟體、不點擊可疑連結、不下載可疑軟體，並且即時更新系統、軟體和應用程序，這些都是有效的預防方式。</p>
<p>&nbsp;</p>
<p>若遭遇勒索軟體攻擊，建議立即斷開受感染設備的網路連線，並依內部通報程序進行通報，啟動相關應變措施。簡單來說，可以向派出所報案，並且尋求專業資安單位協助處理。事後也別忘了調查事發原因、重置密碼和權限憑證、重新安裝作業系統，確保相同事件不會再次發生。</p>
<p>&nbsp;</p>
<p>總結來說，大家平時開啟網頁或電子郵件，都要格外留意，千萬別輕易點擊不明連結，或是下載來源不明的軟體，才能避免落入社交工程攻擊的圈套。如此一來，才能在享受資訊便利的同時，避免成為網路釣魚的受害者。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜國家資通安全研究院 侯猷珉主任、台灣電腦網路危機處理暨協調中心網資組 林志鴻組長、臺灣大學資訊工程學系 蕭旭君副教授；責任編輯｜曹盛威、劉品萱）</p>
