魚叉式網絡釣魚是其中最危險、最具針對性的網絡攻擊之一。
目錄
魚叉式網絡釣魚的意思
魚叉式網絡釣魚有別於一般網絡釣魚攻擊，其網羅層面相當廣，希望能攔截不知情的受害者。魚叉式網絡釣魚是一種高度個人化且具針對性的網絡釣魚攻擊，專門針對用戶而非網絡。黑客會利用受害者的詳細資訊來製作令人信服的訊息，誘騙受害者洩漏敏感資訊或點選惡意連結。
魚叉式網絡釣魚攻擊如何運作
魚叉式網絡釣魚攻擊的規劃與執行都非常謹慎。魚叉式網絡釣魚的正常過程包括：
資訊蒐集
黑客首先會蒐集目標的相關資訊。他們會利用社交媒體、公司網站或其他公開來源來蒐集目標的相關資訊，並尋找電郵地址、職銜、興趣及人際關係等細節。
訊息個人化
在蒐集到有關目標的資訊之後，黑客就會制作一封個人化訊息/電郵。這些訊息的設計看似來自可信賴的來源，例如同事、業務夥伴，甚至是主管。個人化讓訊息更有說服力，並且增加受害者遭到詐騙的可能性。
社交工程技巧
黑客會利用社交工程技巧在心理上操控目標對象，進而洩漏敏感資訊、點選惡意網址，或是其他對自己或企業有害的動作。他們可能會製造一種急迫感、恐懼感或好奇心來鼓勵立即採取行動。常見的手法包括偽冒老闆的緊急請求、供應商的發票，或是值得信賴的服務通告。
執行
一旦訊息建立之後，就會傳送給目標。郵件中可能含有惡意網址，進而連上釣魚網站來竊取登入憑證，或者可能含有附件檔案，當用戶開啟時，就會在受害者的裝置上安裝惡意程式。在某些情況下，黑客可能只是直接要求提供敏感資訊。
常見的目標與後果
典型目標
魚叉式網絡釣魚攻擊的目標通常針對擁有寶貴資訊或資產的個人或機構，例如：
- 企業高階主管：高階主管是主要的攻擊目標，因為他們可取得敏感的公司資訊，以及企業內部的狀態，因此也稱之為網絡捕鯨攻擊。
- 特定員工：能夠存取企業內部寶貴資訊的人員，例如財務、人力資源及資訊科技部門的員工。
- 特定產業：政府、金融、醫療等產業都是常見的目標，因為如果魚叉式網絡釣魚攻擊得逞，其報酬將相當龐大。
潛在後果
- 資料外洩：敏感資訊，如個人資料、財務資訊、知識產權等都可能被竊取。
- 財務損失：黑客可能取得銀行帳戶的存取權限、從事詐騙交易，或是誘騙受害者匯款。
- 商譽受損：受害於魚叉式網絡釣魚攻擊的企業，可能蒙受商譽損失，因此失去客戶、合作夥伴及持份者的信任。
- 營運中斷：經由魚叉式網絡釣魚安裝的惡意程式可能干擾企業營運，導致停機並降低生產力。
如何分辨魚叉式網絡釣魚攻擊
由於魚叉式網絡釣魚攻擊的個人化特性，因此很難被發現，但有幾個危險訊號需要注意：
非預期的要求
若您收到緊急或非預期的通訊要求某些敏感資訊，您應在回應之前先行另外確認。
不尋常的語言或語氣
即使是精心製作的魚叉式網絡釣魚郵件也可能含有細微的語言或語調不一致。找出與寄件人一般溝通方式不符的不尋常詞句、文法錯誤或語氣變化。
寄件人資料不符
仔細檢查寄件人的電郵地址和網域。魚叉式網絡釣魚郵件通常來自看似合法但含有些微差異的郵件地址。
可疑連結與附件
您應該先將滑鼠游標移到網址上方來查看完整的網址，然後再點選連結。未經適當驗證，不得開啟未經請求的附件檔案。
預防措施與最佳實務守則
為了防範魚叉式網絡釣魚，個人和企業機構應採取一些徹底的預防措施，例如：
員工培訓
魚叉式網絡釣魚攻擊的目標並非針對人類，因此，您必須訓練員工認識及回應魚叉式網絡釣魚攻擊。利用模擬網絡釣魚練習來測試他們的意識，並提升偵測能力。
強大的電郵防護通訊協定
採用進階電郵防護，如垃圾郵件過濾、電郵認證（DKIM、SPF、DMARC）及網絡釣魚防護。這些工具有助於在惡意電郵到達用戶之前預先加以過濾。
多重認證
啟用多重認證來存取敏感系統和資料。多重認證增加了一層額外的防護，讓黑客更難取得未經授權的存取權限。
定期防護意識計劃
持續實施資訊保安意識計劃，讓員工隨時掌握最新的魚叉式網絡釣魚手法，以及上網安全最佳實務守則。
事件回應的角色
在處理魚叉式網絡釣魚攻擊時，制定一套明確明確的事件回應計劃非常重要：
發掘並遏止威脅
迅速發掘並遏止威脅，防範進一步損害。包括隔離受影響的系統、攔截惡意 IP 位址，以及變更已遭入侵的密碼。
通知受影響的對象
您應該通知所有受影響的對象有關資料外洩事件。在這個情境中，務必要保持透明，以便其他人能採取必要的預防措施。
實施修正措施
採取修正措施來解決遭到攻擊的漏洞。包括更新資訊保安通訊協定、補丁及強化電郵過濾系統。
魚叉式網絡釣魚的未來趨勢
人工智能及機器學習
魚叉式網絡釣魚集團正利用人工智能和機器學習來產生更令人信服的釣魚訊，針對企業發動高度個人化且精密的攻擊，而這些攻擊將更難偵測。
物聯網與雲端防護
隨著物聯網和雲端越來越普及，黑客也開始瞄準這些環境。魚叉式網絡釣魚技巧正不斷演進，並利用了連網裝置和雲端基礎架構的漏洞。
進階持續性攻擊
進階持續性攻擊會利用精密的技巧來滲透網絡，並且維持偵測不到的狀態。魚叉式網絡釣魚通常是這類攻擊的首要管道，凸顯出企業必須持續調整防禦策略。
持續滲透測試
持續滲透測試與紅隊演練，有助企業隨時掌握魚叉式網絡釣魚的威脅。這些主動措施可即時發掘及解決漏洞，提升整體防護。
哪裡可以取得魚叉式網絡釣魚的協助？
魚叉式網絡釣魚越來越難偵測，因為它會利用人為錯誤來達致成功，令資訊保安意識和培訓比以往更加重要。您的企業需要一套電郵防護方案，讓資訊科技系統管理員與資訊保安團隊擁有完整視野與整合式功能來跟上腳步。Trend Vision One™ Email and Collaboration Security 能透過 Trend Vision One™ Cyber Risk Exposure Management 方案來提供防護意識功能。有了我們人工智能方案，您就能獲得關聯的偵測情報，讓員工作出明智決策，有效防範精密的網絡釣魚攻擊。