生活和工作上的科技應用越來越廣泛，網絡攻擊手法亦日趨嚴重。香港電腦保安事故協調中心數據顯示，在 2019 年的首 11 個月共處理了 8,827 宗保安事故，其中兩種主要的網絡安全事故類別是仿冒詐騙 (2,342 宗) 和惡意軟件 (1,205 宗)。
常見的網絡安全事故經常與僞冒郵件有關，大家較為熟悉的是網絡釣魚。常說騙徒的手法層出不窮，有關電郵的安全事故早已不斷演進，變化成越來越複雜的電郵攻擊種類，當中有三種較少被討論但其實非常高危的電郵攻擊，分別是「品牌冒充」（brand impersonation），「商務電郵詐騙」（business email compromise)和「帳戶接管」（account takeover），破壞性強，不容忽視。
品牌冒充 Vs 品牌劫持
「品牌冒充」是騙徒專為誘導受害者回覆僞冒特定企業或品牌所發出電郵的手法，包括「冒充服務」和「品牌劫持」兩種。「冒充服務」是指僞冒知名公司的網絡釣魚攻擊， 在已知的魚叉式網絡釣魚攻擊中佔 47%，可盜取個人的認證資料，例如信用卡或身份證號碼等。受害公司中，微軟是最多被冒充的品牌 (56%)，因為駭客可以利用微軟和 Office 365 的認證資料去持續滲透受影響的公司，繼續攻擊。其他有被冒充的公司包括 We Transfer，DHL，Chase 和 Netflix 等。
而「品牌劫持」方面，騙徒會用該公司的域名去偽冒相關公司或其僱員，發出虛假資料或是假域名去詐騙受害者。騙徒會針對利用不需發送方域名全面認證的 RFC 標準電郵去進行攻擊。一項 Dell Technologies 的調查發現每天有多達 3 萬宗的欺詐攻擊，而 77%的 Fortune 500 公司沒有使用相對較安全的 DMARC 標準，更易成為被攻擊對象。
另一種高危的攻擊是「商務電郵詐騙」(BEC)，網絡罪犯會假冒被攻擊公司的員工去欺騙其他員工，客戶或其合作顆伴。工資詐騙是其中一種最普遍的商務電郵詐騙攻擊，專門針對人力資源部門員工，誘導他們把公司其他僱員的薪水轉帳到罪犯的欺詐帳戶。這種手法有時會被稱為 CEO 詐騙、CFO 詐騙或員工冒充，多利用社交工程攻擊或利用受駭用戶，郵件通常不帶附件或連結。雖然「商務電郵詐騙」只佔魚叉式網絡釣魚攻擊的 7%，但根據美國 FBl 的調查，在 2019 年所引致的經濟損失高達 170 億美元，當中有 47%的詐騙利用 Gmail 帳戶進行攻擊。
而「帳戶接管」則是指不法之徒會透過冒充品牌，社交工程和網絡釣魚等方法成功盜取用戶的認證資料，然後非法登入帳戶。當帳戶被駭後，駭客會監視和跟踪用戶的活動去觀察公司的作業方式，用戶簽名，以及如何處理財務交易等用以進行攻擊，獲得其他用戶的登入資料。Barracuda 的調查發現，在 2019 年 3 月的一個月內，有 29%的機構的 Office365 帳戶曾經被駭，這些被駭的帳戶在 30 日內收到逾 150 萬次的惡意和垃圾郵件。
要提防以上幾種詐騙陷阱，除了提高警覺和防範意識之外，企業亦可以升級到更安全的電郵閘道解決方案去阻隔大部份的惡意攻擊訊息，甚或進階至使用以 APl 建立的電郵收件防禦設施。APl 的整合設施可利用每個人在機構內的電郵通訊記錄和歷史，以數據和人工智能去分析電郵的真偽。總括而言，電郵攻擊的類型不斷變化，傳統的防禦設施已經不足以應付，企業必須使用更有效的科技去對抗網絡攻擊。
撰文：Barracuda Networks 亞太區副總裁 James Forbes-May
