網絡安全報告｜4類網購釣魚手法大踢爆！9個網購安全貼士必知

【網絡安全報告】香港電腦保安事故協調中心（HKCERT）每季編制的《香港保安觀察報告》出爐，報告除了提到香港單一網絡保安事件宗數於去年（2022年）第四季按季上升47%外，釣魚網站事件更首次破萬。所以機構於報告中介紹4類網上購物的釣魚攻擊手法以及9種安全貼士，一文詳細講解。

網絡安全報告｜涉及香港的單一網絡保安事件按季升47%

《香港保安觀察報告》除了提供過去一季被發現曾經遭受或參與各類型網絡攻擊活動的香港網絡系統的數據外，亦會回顧該季度所發生的重大保安事件及探討熱門保安議題，並提出易於執行的保安建議，以提升公眾的資訊保安認知的水平，増強應對有關風險的能力。

單計去年第四季，涉及香港的單一網絡保安事件宗數為16,108宗，按季上升47%。

網絡安全報告｜網絡保安事件類別

事件類別	2021 Q4	2022 Q1	2022 Q2	2022 Q3	2022 Q4	按季（%）
網頁塗改	595	718	118	113	249	＋120%
釣魚網站	1,061	806	5,033	7,141	13,574	＋90%
殭屍網絡(殭屍電腦)	3,097	3,003	3,642	3,684	2,285	-38%
總數	4,753	4,527	8,793	10,938	16,108	＋47%

網絡安全報告｜釣魚網站事件首次錄過萬宗

當中於釣魚網站事件連升三季，首次於去年第四季錄過萬宗、按季激升90%，較去年同期更上升超過11倍。數據顯示，有84%的釣魚網站為虛假信用卡公司網站；其次為電訊和運輸行業相關、分別佔6%和5%，但跟虛假信用卡公司網站百分比相差逾70%。

HKCERT亦就此介紹針對網上購物的釣魚攻擊手法，主要分作4類：

網絡安全報告｜1. 釣魚訊息

機構指出，最近常見的網絡釣魚攻擊手法主要是透過智能手機系統內置及第三方的即時通訊應用程式，將存有釣魚網站的惡意縮寫URL連結以訊息發送至收訊人。

HKCERT解釋，由於大多數通訊軟件都可以設定發件人的名稱，因此黑客可以偽裝成真實品牌的名稱。

網絡安全報告｜2. 與真實網站相似的釣魚網站

第二是為誘使受害者認為釣魚網站是官方網站並繼續輸入資料，HKCERT指黑客會註冊與該品牌網站相似的域名。

例如: 香港郵政的正確域名為“hongkongpost.hk”，但黑客寄存了釣魚網站“hongkongpost[.]do”的域名中。

網絡安全報告｜3. 複製真實網頁介面的釣魚網頁

第三是複製真實網站的網頁介面，如其登錄頁面。機構解釋此方法會節省設計網絡釣魚頁面的時間，所以大多數黑客會從真實網站中複製網頁介面後再更改網頁後端設置使用。

而此舉會讓用戶更難分辨瀏覽的網頁真確性。

網絡安全報告｜4.社交媒體平台中的網絡釣魚頁面

第四類跟社交平台有關，HKCERT指有黑客於社交平台上創建虛假頁面，其於頁面中發布虛假的優惠活動，並附上釣魚網站的連結。

機構指要分辨Facebook專頁是有跡可尋，主要是真實專頁會帶有Facebook 認證的藍色徽章

網絡安全報告｜9大網上購物安全貼士

切勿隨便點擊來歷不明的連結或附件。盡量在瀏覽器直接輸入網購平台網址或使用瀏覽器書籤。檢查連結及電郵的合法性，例如檢查清楚網址有否拼寫錯誤、文法錯誤或寄件人是否可信。若網站並非使用HTTPS加密，應倍加小心，切勿在沒有加密的情況下輸入敏感資訊
定期轉換網購平台賬戶密碼，於不同的帳戶使用不同的密碼，以防止其中一個資料被外洩後牽連其他帳戶；
用戶應啟用多重認證以加強保安；
只經官方網站或手機應用程式購物或查看訂單情況；
收到可疑電郵或訊息後，可以向官方渠道查詢詳情，切勿向來歷不明的電郵或訊息發送者提供敏感資料；
定期檢查自己的網上付款記錄，查看是否有可疑交易；
使用社交平台徽章認證功能（例如Facebook和Instagram中的藍色徽章）來驗證網店的社交平台頁面是否真實；
在瀏覽器上設定反釣魚網站功能以助阻擋釣魚攻擊；和
使用「CyberDefender 守網者」提供的免費搜尋器「防騙視伏器」來辨識詐騙及網絡陷阱，此搜尋器支援檢查電郵地址、網址和IP地址等。

網絡安全報告｜AI攻擊及網絡犯罪或是今年五大資訊保安風險之一

另一方面，隨著AI的普及讓人們會使用ChatGPT編寫程式或文章，協助工作提升效率。不過HKCERT於報告稱，目前已有網絡不法分子利用ChatGPT製作釣魚郵件內容，甚至編寫惡意程式。

機構更形容AI的潛在保安問題不容忽視，更預測利用AI的攻擊及網絡犯罪服務將會是2023年五大資訊保安風險之一。

網絡安全報告｜AgentTesla成全球最廣泛散布的惡意程式

最後就著以色列網絡安全方案供應商 Check Point 於2022年11月上旬發表每月的《全球威脅指數》報告，名為「AgentTesla」的間諜軟件被列為全球最廣泛散布的惡意程式。HKCERT亦進行分析並提出相關建議。

AgentTesla是一個專門竊取用戶憑證的間諜軟件，黑客透過軟件監視受害者，截取用戶於程式及瀏覽器中輸入的所有內容，然後把其傳輸至黑客控制的伺服器。

網絡安全報告｜針對AgentTesla的7大保安建議

經常保持系統、軟件及防毒軟件於最更新狀態
切勿胡亂開啟不明檔案、網頁及電郵；
開啟電郵內的附件及連結之前最好先確定寄件者身份及電郵內容；
檢查文件的副檔名以免被檔案名稱誤導。不要開啟不明來歷的執行檔和 Microsoft Office 文件檔中的巨集
用戶可以考慮使用密碼管理器來管理密碼，以取代將密碼儲存於瀏覽器；
用戶應該使用較低權限的帳戶去處理日常工作，而非使用管理員帳號；及
用戶可以設定「多重身份驗證」（MFA ）加強帳號保安。

更多報告內容可按此了解更多。