【疫情陷阱】黑客偽冒世衛以電郵騙取個人資料

騙徒手法層出不窮,一場武漢肺炎令人心惶惶疏於防範,以防疫之名的網絡陷阱亦比比皆是。除訛稱有防疫產品出售最後捲錢而逃的假網店,近日亦冒出不少要求市民 like 和 share 後才能預訂口罩的 Facebook 專頁。其實社交工程(social engineering)乃黑客慣常採用的網絡欺詐手段,在分享防疫產品資訊或是提交網購訂單時應慎防此類網絡詐騙。

網絡安全廠商 Sophos 便發現有釣魚電郵以武漢肺炎疫情為餌,騙取世界各地網民的個人資料。這款刊有世界衛生組織世衛標誌的電郵,會請收件人詳細閱讀附載的防範武漢肺炎措施文件。然而,當收件人點擊相關連結,就會被轉接到一個偽冒的世衛網站,並彈出一個對話框,索取收件人的電郵地址和密碼以換取文件存取權。如收件人急欲知道疫情,便會失卻戒心而填寫表格,讓騙徒輕易竊取到個人資料。讓偽冒網站得手後更會隨即把受害人轉接到直正的世衛官方網站,達致「神不知,鬼不覺」。

Sophos 首席研究科學家 Paul Ducklin 就這類乘人之危的釣魚電郵提醒大家:

  • 千萬別因感受到壓力而點擊電郵內的連結:切勿開啟來歷不明的電郵、附件或點擊可疑連結,如欲尋求一些關於武漢肺炎的建議,宜自行到訪那些可信的網站。
  • 不要被發件人的名稱所蒙蔽:如上述釣魚電郵以「世界衛生組織」的名義發出,但其實發信者可以隨意用任何名稱放在電郵「寄件者」一欄。
  • 留意有否串錯字或文法錯誤:雖然並非每個騙徒都會出錯,但確有許多會犯上這些毛病,所以請大家花多些少時間看清楚電郵是否有偽冒的端倪。
  • 檢查清楚 URL 方輸入或點擊連結:自行到訪那些可信的網站尋找資料,避免點擊一些看來不對勁的網址。
  • 永不向網站提供一些不應套取的資料:一個健康意識網站不會隨便要求你的電郵地址,更不用說你的密碼。總之,如有懷疑,不給便是。
  • 如果發現自己曾向假冒者透露任何帳戶密碼,必須盡快更改:操作釣魚網站的不法份子通常馬上會用偷來的密碼試圖登入網站,這個過程更可以自動執行。因此愈快作出反應,就愈有可能令他們功敗垂成。
  • 不要使用同一密碼登入不同網站:只要黑客取得一個密碼,就會以之嘗試登入不同的網站服務,如 Facebook、Gmail、App Store 等等。
  • 盡可能選擇啟動雙重認證:透過手機接收,又或由應用程式產生的一次性認證編碼雖然會構成少許不便,但能有效防止黑客單靠密碼便可得手。