Browsing: BEC

    自從去年 OpenAI 推出 ChatGPT 測試版引起風潮,相關的 AI 工具亦蜂擁推出,吸引不少企業及用家使用。不過,多間網絡安全相繼發表安全報告,指黑客看準這些工具的潛力,從兩個方向濫用生成式 AI,當中包括出售 OpenAI 帳號及用家使用記錄,以及發展出名為 WormGPT 的暗黑版 ChatGPT,大大降低商業詐騙電郵的入行門檻。 想知最新科技新聞?立即免費訂閱 ! 生成式 AI 帶起的熱潮已引發過不同的網絡安全問題,例如有用家發現 ChatGPT 竟顯示了其他用家的對話記錄,亦有專家表示擔心企業員工將含機密資料的內容隨意貼上輸入聊天機械人,會觸發數據外洩大災難等。而隨著生成式…

    對企業來說,勒索軟件及商業電郵詐騙(BEC)是造成最多金錢損失的網絡攻擊,前者可導致業務停頓,並因數據外洩對商譽造成重大打擊,後者則大多只涉及金錢詐騙,但視乎受害者的職位,被騙金錢也可以百萬美元計。Microsoft 365 Defender 的人工智能技術,卻可在數以百萬計的網絡傳輸中,識別出可疑的活動,大大減低企業的損失。 想知最新科技新聞?立即免費訂閱 ! 網絡安全專家指出,由於 BEC 可以完全不用高超的入侵技巧,黑客最多只須購買企業話事人或管理層的電郵帳戶,就可通過社交工程技術,令下屬對金錢轉帳指示信以為真,因此頗受低技術黑客歡迎。 現時 BEC 攻擊的執行難度日漸變得簡單,以往黑客為了提高電郵或訊息內容的可信度,可能要聘請能撰寫目標企業常用語言的人士來幫忙,但在人工智能翻譯的發展下,已可自行完成。 舉例說,BEC 集團 Mandarin Capybara 便利用這項技術,將詐騙電郵的內容翻譯成多國語言,成功騙取多間企業。另外,由於現時幾乎所有人都在使用社交平台,黑客亦更容易通過平台,了解目標企業的架構及人事關係,更精準地以上司身分向掌財務大權的員工發出指示,減低漁翁撒網令企業起疑的風險。 正因現時網絡攻擊愈趨先進及複雜,Microsoft 365 Defender…

    商務電郵詐騙(Business Email Compromise, BEC)的攻擊對於企業而言難以防範,因為騙徒會冒充大品牌或企業客戶,發出具針對性的攻擊,騙取受害人的信任。最近又有一個名為 Crimson Kingsnake 的 BEC 組織出現,假扮國際知名律師事務所,藉以誘騙收件人就逾期發票付款。 Crimson Kingsnake 透過冒充是律師,向目標發送逾期付款的發票,並聲稱在一年前曾為他們提供服務。這種冒充知名機構發出具針對性攻擊的方法,是典型 BEC 攻擊,並要求目標對象立即付款,倘受害者不虞有詐付款就正中下懷。 Abnormal Security的分析師於 2022 年 3 月首次發現…

    網絡釣魚(Phishing)攻擊手法層出不窮,有黑客緊貼市場動向,把握蘋果發佈新品及 NFT 買賣活躍的機會,作出針對性部署。電郵安全公司 Green Radar 劍達(香港)有限公司公布的 2022 年第三季度電郵威脅指數(GRETI)中,季度指數為 68.1 分,比上季 66.5 分為高,反映電郵威脅風險比上季有所提升。網絡釣魚及商業電郵詐騙(BEC)攻擊非常活躍,處於「高」風險級別水平,其中商業電郵詐騙攻擊比上季增長42.2%。 根據 Green Radar 電郵安全監控中心(SOC)統計數據顯示,LinkedIn、DHL和HSBC三大品牌最常被冒充,當中 LinkedIn 超越 DHL 成首位。Green…

    因為電郵所用的SMTP協議有不需確認身份的先天缺陷,所以要假冒成任何身份寄送電子郵件其實不難,而這個缺陷往往就被黑客利用及進行詐騙。 BEC 三大類 近年十分猖獗的變臉詐騙攻擊(Business Email Compromise,簡稱 BEC)所帶來的威脅實在不能低估,而攻擊手法大致分為三類: 寄件人偽裝 – 透過假冒而獲取收件人的信任,用不同的藉口來騙取企業相關資料或匯款。連結偽裝 – 以假冒寄件人的身份發出電郵,誘使收件人點擊連結。這亦稱為釣魚信件,讓收件人點選之後即會連結到外部的惡意連結,藉此取得收件人相關資料。附件偽裝 – 也是以假冒寄件人的身份發出電郵,再搭配有病毒的附件。一旦附件被下載及執行,便進行勒索或各式各樣的攻擊,來取得所需利益。 抵禦 BEC 的安全方案 除了一般的電郵安全培訓、員工意識測試、定期更換電郵帳號密碼之外;在選擇電郵安全方案時,除了防病毒、防垃圾電郵功能外, 針對以下一些抵禦 BEC…

    個個都有電子郵箱,但係咪個個都識保護電郵系統嘅安全?電子郵件安全環境不斷變化,因此企業組織需要從關注威脅環境中最大的安全問題著手。來自 Cofense 的專家 Keith Ibarguen,在 SecurityWeek 分享保護電子郵件系統的四種基本策略。 首先,Ibarguen 就提到 Cofense 的分析,2021 年以來最為普遍的三類攻擊分別是:憑證網絡釣魚(Credential Phishing)、商務電子郵件入侵 (Business Email Compromise, BEC)及惡意軟件(Malware)。據 Cofense 網絡釣魚防禦中心的分析師指,憑證網絡釣魚約佔所有攻擊的 70%,BEC…

    美國 FBI 上星期發出新警報,指網絡罪犯利用視像會議工具如 Zoom、Microsoft Team 等進行金錢詐騙的個案有上升趨勢,罪犯不單只會利用相片假扮公司高層,甚至會利用 deepfake 技術假扮高層的聲音,用各種藉口指示員工轉帳,防不勝防。 新冠病毒改變了全球企業的運作模式,企業因允許員工在家工作,因此工作期間便須使用各種網上協作工具,以及以視像會議取代日常開會。根據 Zoom 及 Microsoft Team 的公布,疫情下令雙方的用家數量激增數千萬。網絡罪犯亦看準這個機會,利用這些視像會議工具竊聽情報,開設虛假的會議或混入會議中,由於參與人數眾多,公司方面未必能即時識別有外人混合,特別是如罪犯盜用了員工的公司帳戶就更難防。 而 FBI 的警報就揭示了網絡罪犯的新趨勢,官方指罪犯結合了商業詐騙電郵 (BEC) 技術,令員工更易上當將金錢存入罪犯的銀行帳戶中。BEC 指的是罪犯透過各種手法預先摸清目標企業的員工架構及商業夥伴電郵往來的內容,了解公司的日常商業運作,在真正攻擊時便會假冒上司,就著某宗交易要求員工將金錢改存入其他帳戶,整個攻擊過程必須長時間部署,才能令員工更易上當。…

    商務電郵詐騙 (BEC) 問題愈來愈嚴重,Palo Alto Networks 最新發表的報告顯示,犯罪集團以 BEC 騙取的金額由最少的 56.7 萬美元,到最高的 600 萬美元。雖然 2020 年美國企業總損失高達18.7億美元,但受害企業因為不想商譽受損,所以才選擇保密。老闆想知道如何防避 BEC?不妨聽聽專家講解。 有別於一般的釣魚電郵攻擊,商務電郵詐騙 (Business Email Compromise, BEC)…

    安全意識培訓真係有用㗎!根據 IT 安全公司 F-Secure 最新發表的研究報告,有1/3由員工舉報的可疑電郵,的確內藏惡意行為,例如包含虛假網站連結、帶有惡意功能的附件。萬一有惡意電郵可以繞過防護系統進入收件箱,員工就是一條重要的防線,所以老闆們一定要做好培訓工作呀! 不少調查顯示,九成企業入侵事件是通過釣魚電郵達成,例如員工誤信電郵內容打開帶有病毒的附件,又或被引導至虛假網頁然後輸入公司帳戶資料,另外亦有員工墮入商業電郵詐騙 (BEC) 陷阱,將鉅款匯入犯罪集團的銀行帳戶,令公司帶來難以估計的損失。而 F-Secure 最新發表的報告,便著眼於員工舉報可疑電郵的準確度。 研究團隊一共分析了 20 萬封由企業員工於今年上半年舉報的可疑電郵,結果確認 33% 電郵的確帶有惡意行為。最多員工認為電郵有可疑的原因,有 60% 認為當中含有可疑的連結,其次為電郵由可疑或不明人士發送,其他如電郵內有可疑附件或疑似垃圾訊息,都是員工決定舉報的主要元素。另外,研究員又指出,如有「Warning」、「Your funds has」或「Message is…

    黑客無孔不入,招數亦愈來愈高明,究竟本地企業能否招架得住呢?電郵安全公司 Green Radar日前發表本港首份電郵威脅指數報告,與坊間以全球數據作為基礎的報告不同,Green Radar 半年前籌劃一份針對香港電郵威脅狀況的報告,當中的數據以Green Radar 的 電郵安全監控中心 (SOC) 每日收數以百萬封電郵配合 AI 分析數據,從而得出指數(相關報道:https://bit.ly/3kjSK1a)。 GR 的電郵威脅指數 Green Radar Email Threat Index(GRETI)集中分析釣魚電郵(Phishing Email)、商務電郵詐騙(BEC)及惡意軟件(Malware)的攻擊,Green…