新型態的網路釣魚和APWG的因應方式

網路釣魚被視為網路犯罪的一種,過去攻擊者通常利用垃圾郵件來欺騙受害者洩漏其個人敏感資訊,如使用者名稱、密碼或金融帳號資訊等,然而現今的網路釣魚不只使用傳統手法,駭客更精益求精,發展出更進階引人上鉤的技巧。ICANN資深安全技術官暨APWG(網路釣魚工作小組)董事Dave Piscitello於APWG網站撰文介紹新型態的網路釣魚方式,以及APWG如何因應日益複雜的釣魚手法,本篇就其文章做重點摘要。

現今攻擊者除了以各種社群媒體用戶為目標,還會在簡訊、Skype、Facebook Messenger或其他訊息服務中發送網路釣魚誘餌。另外,他們也會特別挑選有錢人,或有權限存取公司/政府金融帳務或敏感資訊的員工;這種針對性攻擊稱作「魚叉式網路釣魚」(spear phishing),例如假冒某高管人員與負責財務的員工通信,以假收據使其受騙並進行電匯,或是用BEC(商用電子郵件詐騙,business email compromise)來獲取敏感的業務資訊,這些方式比散播垃圾郵件的經濟效益更高。

其他的網路釣魚方式包括欺騙受害者在電腦中安裝惡意軟體,如root kit,即可讓攻擊者擁有遠端管理員權限,進而取得資訊或監測受感染的電腦。今日勒索軟體在網路釣魚攻擊上占了多數,駭客引導受害者下載惡意軟體,一旦安裝後,惡意軟體將鎖定用戶電腦或將硬碟裡所有檔案加密,向用戶勒索贖金以換取解鎖或解密的方法。

為了因應這些新型態的威脅,APWG成員需要更多更好的情報。APWG eCrime eXchange (eCX)現在支援隨選網路釣魚資料的輸入和檢索,電子犯罪調查員可以更快、更有效地取得最新資料。APWG也提供與加密貨幣識別碼和惡意IP位址相關的資料。另外,APWG成員還需要可靠的情勢情報和安全意識,透過eCrime會議,成員可與研究人員、從業人員分享新技術、了解實際案例並建立聯繫的機會。

最後,APWG成員還必須跟上影響網路調查的全球政策和法規,向負責隱私或資料保護法規的立法者提供專業知識和諮詢,這種知識共享能確保監管機構制定明智的政策,最近,APWG也致力於將資料收集符合歐盟2016/679 (GDPR)、APEC隱私框架和必要的國家法規。

若想了解更進一步的資訊,請參閱原文

Photo created by rawpixel.com

發佈留言

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *