網路捕鯨 (Whaling) 是一種專門針對企業 CXO 主管或內部重要人士 (如高階主管、經理及其他資深領導人) 的網路釣魚攻擊。
目錄
網路捕鯨 (Whaling)
「網路捕鯨」(Whaling) 從字面上就能猜出這類攻擊專門瞄準擁有重要權限、可存取機敏資訊的「大人物」。有別於傳統網路釣魚攻擊瞄準的是一般人，並且以量取勝，網路捕鯨是一種高度針對性的攻擊，它會利用有關受害者的詳細資訊來製作很有說服力個人化電子郵件。
網路捕鯨攻擊如何運作
對駭客集團來說，企業內的重要人士是令人垂涎的目標，因為這些人士經常可以取得珍貴的資訊、資源，並且擁有決策權力。駭客只需駭入高階主管的電子郵件帳號，就能授權匯款交易、存取機密資料，甚至違反企業的流程。
網路捕鯨攻擊需要縝密的規劃並小心執行，主要包含幾個階段：
研究階段
在研究階段，駭客會蒐集有關目標對象的大量資訊，包括其角色、職責、個人興趣，以及專業人脈等細節。他們會研究目標對象的社群媒體帳號、公司網站、新聞稿以及其他公開資料來協助他們策畫攻擊。
策畫攻擊
有了詳細的了解之後，駭客就能製作高度個人化又具說服力的電子郵件。這些電子郵件通常會假扮成可信任的商業夥伴或同事，並提出一些必須立即處理的緊急要求。有時，他們也會假扮成您在工作場所以外認識的人。常見的手法包括：
- 假扮成他人：駭客會假扮成可信任的個人或機構來博取目標對象的信任。
- 緊急事件：駭客會營造一種急迫性，好讓受害者在未經詳細查證的情況下貿然行動。
- 假借權威：駭客會冒充權威人士來迫使他人服從。
執行
駭客一旦製作好網路捕鯨郵件，就會將郵件發送到目標對象。目標對象萬一不幸上當，很可能將造成嚴重的損害，因為他們可能洩露了機敏資訊、授權了不當的匯款交易，或者下載了破壞其系統的惡意附件檔案。
網路捕鯨與其他網路釣魚攻擊的差異
網路釣魚攻擊的型態有很多，不過網路捕鯨的精密度和複雜性都較高：
傳統網路釣魚
傳統的網路釣魚屬於廣泛的無差別攻擊，使用一般性電子郵件來攻擊大量使用者，這類攻擊是以量取勝，並期望會有一小撮的收件人上當。
魚叉式網路釣魚 (Spear Phishing)
魚叉式網路釣魚比傳統網路釣魚更具針對性，但其個人化程度仍不像網路捕鯨這麼深。魚叉式網路釣魚郵件會瞄準特定的個人或團體，其客製化程度通常要看可取得的公開資訊而定。
網路捕鯨 (Whaling)
網路捕鯨將客製化提升到另一個層次，充分運用有關目標對象的詳細資訊，包括公司內的角色、職責，以及個人興趣等等。這類電子郵件都經過精心設計好讓它看起來相當真實，而且駭客還會運用精密的社交工程技巧來誘騙目標上當。
網路捕鯨的常見的手法和技巧
網路捕鯨會運用各種手法來欺騙目標：
- 社交工程：駭客會試圖利用人類心理 (例如信任感、權威、急迫性) 來操弄受害者。他們經常假扮成可信任的同事、商業夥伴，或是工作場所以外認識的人來欺騙目標。
- 身分盜用：在極少數針對重要人士的攻擊中，駭客會事先駭入受害者身邊親信的電子郵件帳號，然後再利用其可信任對象的真實電子郵件地址來發送網路捕鯨郵件。
- 電子郵件造假：電子郵件造假是指偽造寄件人地址，讓電子郵件看似來自正常的來源，這種技巧對於說服目標相信電子郵件的真實性非常重要。
- 惡意附件與連結：網路捕鯨郵件當中可能含有惡意附件或連結，一旦開啟，就會在受害裝置上安裝惡意程式，或者連上專門竊取登入憑證的網路釣魚網站。
如何防範網路捕鯨攻擊與最佳實務原則
企業可採取幾項措施來保護自己以防範網路捕鯨攻擊：
- 網路資安訓練與意識：定期為高階主管和員工舉辦教育訓練，提升他們對網路捕鯨攻擊的意識，並教導他們如何分辨可疑電子郵件。
- 電子郵件認證技術：採用像 DMARC (Domain-based Message Authentication, Reporting & Conformance) 這類電子郵件認證技術來協助防範電子郵件造假，確保電子郵件來自其宣稱的寄件人。
- 驗證程序：針對一些敏感的要求 (如金融交易或資料分享) 建立嚴格的驗證程序來防止未經授權的動作，例如，透過口頭方式確認匯款來增加一層額外的保障。
- 偵測及回應策略：有效的偵測及回應策略，對於防範網路捕鯨攻擊所帶來的衝擊至關重要。
- 進階電子郵件過濾系統：部署進階的電子郵件過濾系統，有助於在可疑郵件到達目標信箱之前預先發掘並加以封鎖。
- 監控可疑活動：持續監控是否有異常的活動 (如非預期的金融交易或資料存取)，有助於及早偵測潛在的網路捕鯨攻擊。
- 事件回應計畫：制定一套完善的事件回應計畫，確保企業能迅速有效地回應已經發生的網路捕鯨攻擊，盡量降低損害並縮短復原時間。
網路捕鯨對企業的影響
網路捕鯨攻擊可能為企業帶來嚴重的後果，包括：
- 財務損失：網路捕鯨攻擊一旦得逞，很可能因為詐騙匯款或敏感資訊遭到竊取而導致嚴重的財務損失。
- 商譽損失：機密資料遭到曝光或敏感資訊未妥善處理，都可能損害企業的商譽並破壞客戶的信任。
- 法規罰鍰：萬一網路捕鯨攻擊造成機敏資料外洩，企業很可能將面臨法規罰鍰和法律後果。
網路捕鯨攻擊的未來趨勢
隨著資安威脅的不斷演進，網路捕鯨攻擊也會不斷進化，一些新興的趨勢包括：
- 使用人工智慧：駭客越來越常利用人工智慧來製作更具說服力的個人化電子郵件，讓受害者更難分辨哪些是網路捕鯨郵件、哪些是正常的通訊。
- 攻擊新式數位平台：隨著數位通訊平台日益普及到我們的工作和家庭生活當中，駭客也開始將觸角延伸至電子郵件之外，瞄準了 Slack、Microsoft Teams 和社群媒體等平台上的高階主管。
- 適應性資安措施：企業必須採取適應性資安措施來隨時掌握不斷演變的威脅，包括運用 AI 驅動的資安解決方案，並不斷更新其資安程序。
哪裡可以取得有關網路捕鯨的協助？
資安意識與訓練一直是一套強大的網路資安策略當中關鍵的要素，但隨著威脅情勢的快速演變，您需要一套電子郵件防護解決方案來讓 IT 系統管理員與資安團隊擁有完整的可視性與整合式功能。Trend Vision One™ Email and Collaboration Security 可透過我們的 Trend Vision One™ Cyber Risk Exposure Management (CREM) 資安曝險管理解決方案來提供 Trend Vision One™ Security Awareness 的資安意識提升功能，這套 AI 驅動的解決方案，能提供交叉關聯情報的偵測能力，讓員工做出明智判斷，進而有效防範精密的網路釣魚攻擊。