【職場攻略】騙徒手法層出不窮，近年網絡罪犯不斷強化釣魚攻擊，透過引入新技術和策略，試圖繞過安全措施並避過偵測。有研究人員發現3招黑客新攻擊策略，打工仔一定要留意！
職場攻略｜研究揭露3款黑客新招
資訊技術公司Barracuda Networks的研究人員分析了Barracuda系統阻擋的釣魚電郵數據，發現黑客使用三款攻擊策略。雖然使用這些手法的整體攻擊量仍處於低水平，採用每種策略的攻擊數量都不到1％；但分佈廣泛，已經有11％到15％的機構受到影響，而且通常會受到多次攻擊。
黑客新招（1）使用特殊字符逃避偵測
黑客經常使用特殊字符，例如零寬度的統一碼（Unicode）碼位、標點符號、非拉丁文字或空格以逃避偵測。這種策略也用於誤植域名（Typosquatting）網址攻擊，該攻擊模仿真實網站但稍有拼寫錯誤。而當它們用於釣魚電郵攻擊時，收件人無法看見這些特殊字符。
超過七分之一的機構中伏
攻擊者在釣魚電子郵件中的惡意URL插入零寬度的空格，使偵測工具無法正確定義其惡意性質。由於特殊字符有正當使用目的，例如電子郵件簽名，因此偵測此類攻擊變得困難。
Barracuda研究人員又發現，在2023年1月份，超過七分之一的機構收到了如此使用特殊字符的釣魚電郵，而每個機構在該月份亦平均收到約四封類同的電郵。
黑客新招（2）用Google翻譯都可能出事
第2個新招，是研究人員於1月份注意到部份電郵攻擊是利用Google翻譯服務隱藏惡意URL。
攻擊者使用格式不良的HTML頁面或Google翻譯不支援的語言，阻止Google直接翻譯網頁，然後Google會提供指向原始URL的超連結作為回應，並指無法翻譯相關網站，然後黑客將該URL超連結嵌入電郵中。如果收件人點進該超連結，他們將打開由黑客控制的釣魚網站。
攻擊很難被偵測
這些攻擊很難被偵測，因為它們包含連結合法網站的URL，因此許多電郵篩選技術將允許這些攻擊通過。此外攻擊者可以在電子郵件傳遞時更改惡意載荷，使它們更難被發現。
數據顯示，2023年1月份有八分之一（13％）的機構受到此類釣魚電郵的攻擊，而每個機構在該月份平均收到了約八封此類電郵。
黑客新招（3）圖像釣魚攻擊
垃圾電郵經常使用圖像攻擊，研究人員發現使用沒有文字的圖像進行的釣魚攻擊有上升趨勢。
這些圖像可能是偽造的表格，例如含有超連結或回撥電話號碼等的單據。當受害者打開或者試圖跟進時，釣魚攻擊便吿成功，因為這些攻擊不包含任何文本，所以傳統的電郵安全方案可能無法偵測到它們。
未來或會越來越流行
數據顯示，2023年1月份有約十分之一（11％）的機構受到此類釣魚電郵的攻擊，各機構在該月份平均收到了約兩封這類電郵。研究人員認為圖像釣魚攻擊將成為未來網絡罪犯的越來越流行的策略。
釣魚攻擊是許多網絡攻擊的常見起點
Barracuda亞太區副總裁James Forbes-May表示，釣魚攻擊是許多網絡攻擊的常見起點，包括勒索軟件、金融欺詐和憑證盜竊。網絡罪犯繼續強化釣魚攻擊，誘騙不小心的受害者之餘，同時避免被系統發現和制止。
使用加強版的電郵保護功能
公司如果想保護客戶，電郵保護功能需要為AI加強版，檢查上下文、主題、發送者等資訊，以確定看似無害的電子郵件是否經精心設計的攻擊，另外亦要培訓員工了解、識別並報告可疑郵件，以快速識別和刪除惡意電郵。
