Browsing: 釣魚電郵

    網絡安全公司 Check Point 發表最新釣魚電郵報告,LinkedIn 及 Microsoft 成為最常被冒用品牌,前者差不多佔了全部釣魚電郵的 45%,後者則達 13%,過往被冒用得較多的品牌如 Netflix 已跌出十大,相信跟其訂戶數量大跌有關。 Check Point 上星期發表最新一季釣魚電郵報告,分析最受犯罪集團看好的品牌。釣魚電郵一般不會針對特定對象,主要是用漁翁撒網方式,大規模發出惡意電郵對待收件者上釣。成功與否,取決於所冒認的品牌與收件者是否有關係,因此品牌的用家或客戶愈多,成功率愈高。而在最新一季的統計數字可見,職場社交平台 LinkedIn 明顯最受歡迎,因為在所有釣魚電郵攻擊中,它共佔了 45%,雖然它已從去季的 52% 稍為下降。 事實上,早前另一間網絡安全公司…

    電子郵件威脅越趨本地化,愈來愈多黑客冒充本地品牌,使港人降低戒心。電郵安全公司 Green Radar 劍達(香港)有限公司公布的 2022 年第二季度的電子郵件威脅指數中,季度指數為 68.1 分,與去年 6 月的 63 分相比,電郵威脅風險大幅上升。根據分析,本年度網絡釣魚和商業電郵詐騙攻擊繼續處於「高」風險級別水平,而惡意軟件威脅為「中」風險級別水平。 發送假電郵 聲稱可退稅呃私隱 Green Radar 產品營銷執行副總裁李崇基(Francis)提到,不少本地知名品牌被黑客利用,Green Radar 電郵安全監控中心(SOC)在攔截的電郵當中,發現港燈、稅務局、港鐵、PayMe、恒生銀行及匯豐銀行都有被冒充。以稅務局為例,黑客藉 3、4…

    正所謂魔高一丈,由於黑客不停採用新技術避開安全檢測,所以專家警告殭屍網絡 (Botnets) 愈來愈難防禦。除了倚賴傳統防禦方法,專家建議還可經常留意上網設備的表現,如發現有以下特徵,好可能已中招…… 簡單來說,殭屍網絡指一個由受感染電腦設備組成的網絡,它受到黑客所操控,在有需要時發動網絡攻擊,當中包括 DDoS、釣魚電郵等。現時可被操控的電子設備相當廣泛,由以往的桌面電腦、手提電腦、伺服器擴展至智能電話、各種 IoT (物聯網)產品。加上近年黑客發明出各種反射及放大 (amplification) 技術,可將細少的數據封包放大至數億倍,因此令 DDoS 攻擊成為更令人頭痛的問題。 專家指出,近年黑客採用更多新技術,可有效繞過防毒軟件的偵測,導致 Botnets 防禦工作變得更困難,這些隱密技術包括: · 化整為零:以往黑客大多會設立一個 C&C 控制中心,向整個殭屍網絡軍團收集及發送指令。不過,單一或固定控制中心較容易被偵測及封鎖,因此黑客改以分散式手段,或交由殭屍大軍分散式傳輸數據,提升打擊難度。 · 暗渡陳倉:殭屍網絡會透過第三方軟件或社交平台傳輸數據,特別是後者的用家經常會發布或下載相片、連結,誤導防毒軟件認為是正常網絡活動,從而隱藏惡意網絡行為。…

    過往主要攻擊 POS 系統,竊取企業儲存的客戶信用卡資料的黑客集團 FIN8,最近被網絡安全專家發現擬似加入了勒索軟件功能,其白兔 (White Rabbit) 勒索軟件借用其他集團的入侵方法,再運用雙重勒索手段逼受害企業交贖金。企業必須做好勒索軟件防禦工作,便可減少中招風險。 網絡安全專家 Michael Gillespie 上月在 twitter 貼文,說捕獲到一款首次現身的勒索軟件 White Rabbit。他當時指出,White Rabbit 在加密目標檔案後,會為每個檔案加上 .scrypt 延伸檔名,以及一個與檔案名稱相同的 txt…

    密碼管理服務供應商 LastPass 最近向大批用家發現電郵警告,指他們的帳戶出現不尋常的登入記錄,更聲稱已為用家阻截登入,呼籲用家盡快修改密碼及啟用雙重因素驗證 (two-factors authentication) 功能。不過,LastPass 堅稱並未發生數據外洩事件,但就有受影響用家聲稱登入密碼未有共用於其他帳戶,真相到底是? 為了保障各種帳戶的安全,不少人都會為每個帳戶設定獨一無二的強密碼 (strong password),即在字元長度、字符組合複雜程度上均達到一定標準的密碼。不過,並非所有人都有超人記憶力,因此要管理所有帳戶的密碼,便必須借助密碼管理器 (password manager) 記錄,而用家日後要取得這些帳戶登入資料,便只須記著一個密碼管理器的登入密碼,上述的強密碼應用才變得可行。 LastPass 便是其中一款最多人使用的密碼管理器,但就在近日內,有 LastPass 用家收到官方發現的電郵警告,稱其帳戶出現可疑登入,雖然對方使用了正確的帳戶登入資料,但由於登入的位置與用家平常有很大出入,系統站於安全立場,已先為用家進行攔截,並建議如登入並非由用家自己執行,便應立即更換密碼及提升安全檢查功能。LastPass 方面堅稱內部未有發生任何數據外洩,相信黑客是從其他數據外洩事件中取得用家的帳戶登入資料。 不過,有 LastPass…

    研究顯示九成網絡攻擊源自釣魚電郵,員工能否正確分辨,便成為企業防避入侵的重要因素。研究機構 ETH Zurich 一項跨 15 個月的調查發現,即使企業為員工提供安全意識培訓,如員工經常接觸到釣魚電郵,也有可能重複犯錯。要提高員工的辨識率,必須讓他們養成舉報的習慣。 該項調查的結果共收集了 14,733 個企業員工的數據,而且歷時長達15個月,目的是顯示哪類員工最易上當、企業在受測試過程中被入侵的風險有否改變、員工安全培訓的作用,以及員工的參與能否有助偵測釣魚電郵。研究員只向答應參與的企業發出模擬釣魚電郵,而該公司的員工全不知情。而在虛假的釣魚電郵內,研究員同時設置了一個按鈕,讓員工可以輕易向 IT 部門舉報懷疑收到釣魚或垃圾電郵,從而觀察員工會如何處置這類信件。 在過往一些同類調查中,結果曾顯示女性會較易打開釣魚電郵,但在這次測試中,研究員指未有發現性別的中招率存在差異,相反年輕或年長的員工,較傾向會點擊打開電郵內的惡意檔案或連結。而屬於重複犯錯的「repeated clickers」,佔整體調查對象的 30.62%,會授權啟動文件內的 Macros 或於釣魚網站輸入帳戶登入資料的亦 23.91%,另外,對於工作上需要經常接收電郵的員工來說,就算擁有較高安全意識,但有 32.1% 最終也會出現抗毒疲勞,至少墮入陷阱一次。安全意識培訓問題上,調查結果顯示模擬釣魚電郵測試及自發性參與安全培訓,未能有效減少員工的中招率;無論電郵系統內顯示的威脅資訊如何詳細,似乎亦無助降低員工的打開機會。結果顯示企業如想靠員工自行阻止釣魚攻擊,實在未許樂觀,管理者應該認為採購有效的電郵防護服務及安裝反釣魚電郵過濾器。 有趣的是,研究員發現如電郵內提供一鍵舉報按鈕,反而有助企業及早標籤釣魚電郵攻擊。從調查報告中可見,員工的整體舉報釣魚電郵的準確度達…

    在全球疫情持續未見放緩的情況下,實行遙距工作模式亦令網絡攻擊大增,其中電郵安全發生了巨大的變化。Cyber Security News 指出,疫情下網絡釣魚攻擊增加,重新令普通企業關注,應如何在不影響其日常工作流程的情況下,保護自己免受網絡犯罪分子侵害,並分享了在 2022 年需要關注的五個電子郵件安全趨勢。 (1)錯誤配置攻擊 錯誤配置攻擊呈上升趨勢,並已導致重大數據洩漏。錯誤配置的伺服器或應用程式會在安全檢查漏洞中,將自己暴露給第三方攻擊者。而使用錯誤配置的伺服器發送電郵,可能會出現延遲,甚至導致郵件炸彈。因此在檢查電子郵件安全時,應確保對實時伺服器作檢查,以減少錯誤配置。 (2)附件攻擊呈上升趨勢 2022 年預計惡意附件電郵將繼續呈增長趨勢。網絡犯罪分子已瞄準每天收到數以千計電郵附件的人力資源部門及各種顧問公司,而這些附件通常是惡意軟件,並會根據網絡安全級別破壞設備,甚至會影響整個辦公室的運作。Cyber Security News 建議,應使用電子郵件安全工具,以及受信任的防毒軟件,對附件作實時掃描。如果企業收到大量文件,請確保不要點擊從錯誤地址或垃圾郵件地址所發送的附件。 (3)假扮受信任來源的網絡釣魚電子郵件 過去幾個月與電子郵件相關的攻擊,反映犯罪分子的作案手法複雜。有攻擊者使用社交工程方法,冒充大公司、供應商甚至受害者同事作攻擊。要防犯這裏攻擊,可留意電子郵件副本、文字、格式,甚至圖像等,和之前不一致之處;亦應使用諸如發件人策略框架 (Sender Policy Framework) 之類的進階電子郵件標準,以控制網域授權。…

    Black Friday 優惠剛剛完結,相信不少人都在這段時間盡情搜購心頭好。不過網上購物陷阱處處,該如何洞悉騙徒的詭計,避免他們承機偷取你的信用卡資料及其他重要個人資料?ZDNet 找來一眾專家教路,讓你在下一個節日掃貨前,多加留神網絡威脅。 釣魚電郵是黑客展開攻擊的常用方法,因此需注要那些聲稱是網店、銀行、信用卡公司等的電郵,而內容是誘使用戶點擊連結到其他網站,這些手法有機會是騙徒嘗試以導向假網頁,藉以獲取密碼或信用卡資料等。在如 Black Friday 的購物高峰期,電子郵箱充斥相關推廣優惠,而騙徒的郵件也有機會混入其中。Tripwire 安全研發總監 Lamar Bailey 警告,並非所有電子郵件都是正當的,因為攻擊者有機會是透過真的電子郵件作連結改變,將受害人重新導向至仿真度高的惡意網站。 Cyber​​eason 的首席安全官 Sam Curry 則指出,擁有多張有結餘信用卡的人,可能會收到假裝由信用卡公司發出的電子郵件,稱他們的帳戶已過期,除非他們每月支付最低還款額,否則戶口可能會被關閉,毫無戒心的受害者或因此洩露其信用卡資料和其他個人私隱。AT&T Cyber​​security 的安全官 Javvad…

    商務電郵詐騙 (BEC) 問題愈來愈嚴重,Palo Alto Networks 最新發表的報告顯示,犯罪集團以 BEC 騙取的金額由最少的 56.7 萬美元,到最高的 600 萬美元。雖然 2020 年美國企業總損失高達18.7億美元,但受害企業因為不想商譽受損,所以才選擇保密。老闆想知道如何防避 BEC?不妨聽聽專家講解。 有別於一般的釣魚電郵攻擊,商務電郵詐騙 (Business Email Compromise, BEC)…

    人工智能技術提高攔截釣魚電郵的準確度,於是網絡罪犯又變陣,反利用人工智能盲點避開攔截。最新方式是利用算術符號取代知名品牌logo上的文字,例如美國電訊商 Verizon,就俾罪犯用平方根符號代替V字,驟眼睇好似 logo 原貌得來又有些微差別,令電郵呃到人又呃到人工智能,高招! 網絡安全業界均肯定人工智能技術,必然有助提升惡意行為的攔截率,因為它具備機器學習功能,而且又能快速從不同渠道搜集網絡威脅資訊及趨勢,因此無論在調查及處理速度、標準化上,都較人類優勝。不過,始終人工智能的演算法都會依循一定規條,因此只要掌握它的規則,便有辦法找到入侵盲點。以這次打著 Verizon 旗號的釣魚電郵為例,一般人工智能技術都會著重檢查電郵內的品牌標誌是否偽造、內含的跳轉連結是否已被確認用於惡意行為等。網絡罪犯就利用這個規則,以平方根取代品牌的 V 字,令人工智能不會認為它是偽造的 Verizon 標誌,成功通過第一關。 不過,網絡罪犯當然不會單靠這招通關,這次發現的釣魚電郵攻擊還有其他招數。當收件者信以為真,點擊電郵內的語音留言 button,就會將收件者帶到一個虛假的 Verizon 網站。由於這次的目標是要令收件者以為正在瀏覽官方網站,所以網站的圖文排版都抄襲得一模一樣,專家指罪犯偷用了官方網站的 HTML 及 CSS 素材,因此才能令收件者信以為真。網絡罪犯亦特別利用新的 domain…