【以假亂真】Green Radar電郵威脅指數報告:惡意攻擊本地化 冒充稅局港燈

    電子郵件威脅越趨本地化,愈來愈多黑客冒充本地品牌,使港人降低戒心。電郵安全公司 Green Radar 劍達(香港)有限公司公布的 2022 年第二季度的電子郵件威脅指數中,季度指數為 68.1 分,與去年 6 月的 63 分相比,電郵威脅風險大幅上升。根據分析,本年度網絡釣魚和商業電郵詐騙攻擊繼續處於「高」風險級別水平,而惡意軟件威脅為「中」風險級別水平。

    焦點數據:
    – GRETI 2021-22 年的統計數據,自 2021 年 月以來,有 56.9% 香港企業遭受比以往更多的惡意電郵攻擊,平均每天會面對2次網絡釣魚攻擊。
    – 攻擊來源方面,最多的攻擊來自美國,佔 39.4%;從香港發起的電郵攻擊幾乎佔總數的 10%
    – 惡意軟件佔所有電子郵件攻擊的 28.15%,其中Exploit.MSOffice是最常被傳播的惡意軟件。
    – 透過分析惡意軟件的性質,發現被植入電郵中最流行的惡意軟件家族,是 Trojanware 家族,分別位列第二和第三大傳播惡意軟件,佔所有檢測到的惡意軟件中的 33%

    【以假亂真】Green Radar電郵威脅指數報告:惡意攻擊本地化 冒充稅局港燈

    發送假電郵 聲稱可退稅呃私隱

    Green Radar 產品營銷執行副總裁李崇基(Francis)提到,不少本地知名品牌被黑客利用,Green Radar 電郵安全監控中心(SOC)在攔截的電郵當中,發現港燈、稅務局、港鐵、PayMe、恒生銀行及匯豐銀行都有被冒充。以稅務局為例,黑客藉 3、4 月的報稅月份,傳送電郵至市民,聲稱可以退稅。當市民按下黑客提供的鏈結,會進入到與稅務局十分相似的網站,並會要求填寫個人身份證號碼及信用卡資料等;亦因為品牌貼近日常生活,大眾更易受騙。這些冒充稅務局的電郵,會於報稅交稅的時期發出,使收件人在壓力和催促下被迫回應電郵,令人防不勝防。

    【以假亂真】Green Rader電郵威脅指數報告:惡意攻擊本地化 冒充稅局港燈
    有假冒稅局的釣魚電郵,聲稱可作退稅。

     

    【以假亂真】Green Rader電郵威脅指數報告:惡意攻擊本地化 冒充稅局港燈
    電子支付平台 PayMe 成為處理政府發行消費券的付款工具,成為黑客其中一個重點目標。

    黑客正投入更多的精力來冒充本地品牌,而匯豐銀行和恒生銀行這兩個品牌變成了黑客的新寵兒,成為今年下半年最常被冒充的品牌,這是由於該兩個品牌較貼近於港人的日常生活,而且已習慣與這些品牌透過電郵溝通,因此發現有問題的機會就大大降低。 電子支付平台 PayMe 亦遭黑客利用,隨著其日益普及,以及成為處理政府發行消費券的付款工具,因而成為黑客重點目標之一。

    【以假亂真】Green Rader電郵威脅指數報告:惡意攻擊本地化 冒充稅局港燈
    冒充港鐵的釣魚網站,會要求輸入信用卡資料,以完成「回贈」。

    Green Radar 亦提到,與其他被經常利用作釣魚攻擊的品牌相比,「港鐵」的本土化程度更高,幾乎每個人都能將港鐵與自己的生活連繫,因此對收到「港鐵回贈」電郵的反應不會產生懷疑。

    根據報告指出,來自香港本地的黑客攻擊約 10%,排名第二。至於黑客是否香港人,Green Radar 安全業務策略執行副總裁林德齡(Andrew)指,無法確認他們來自哪裏,但可以肯定黑客熟知香港情況,或得到由本地人提供的資訊,因為外國人對本港的認識不大。Andrew 認為,這是一個針對香港而非個人的攻擊。

    惡意電子郵件活動的威脅仍然高企  

    根據 GRETI 2021-22 年的統計數據,自 2021 年 6 月以來,有 56.9% 香港企業遭受比以往更多的惡意電郵攻擊,平均每天會面對 2 次網絡釣魚攻擊。最多的攻擊來自美國,佔 39.4%,令人擔憂的是,從香港發起的電郵攻擊幾乎佔總數的10%。報告亦提到,絕大部分的電郵攻擊針對大型企業(超過 1,000 位員工)及小型企業(少於100位員工),因為黑客認為這些目標更值得去攻擊。此外,Green Radar 的數據顯示,商業電郵詐騙攻擊(BEC)逐漸受黑客青睞,他們對潛在受害者的分析開始更為深入,以進行更具針對性的攻擊,旨在獲得容易且即時回報或長期回報。

    四招提升網絡安全意識

    被問到如何分辨惡意電郵,以免黑客有機可乘,Andrew 提出 4 個建議:

    1. 注意電郵地址,有時候手機畫面不會顯示寄件方的整個電郵地址,大眾需要多加檢查。
    2. 留意電郵中的錯別字 ,部分黑客會把 1010 寫做 1O1O,或用特殊符號代替英文字。
    3. 查清楚網站鏈結,對比真假網站。
    4. 透過公司評估,可以模擬沒有傷害的假電郵傳送到給員工,若發現有員工開啟該電郵,則會提醒及教育員工,使員工有更深刻的印象,從而提高其網絡安全意識。