【電郵威脅指數】黑客緊貼蘋果及NFT熱潮　商業電郵詐騙激增四成

網絡釣魚（Phishing）攻擊手法層出不窮，有黑客緊貼市場動向，把握蘋果發佈新品及 NFT 買賣活躍的機會，作出針對性部署。電郵安全公司 Green Radar 劍達（香港）有限公司公布的 2022 年第三季度電郵威脅指數（GRETI）中，季度指數為 68.1 分，比上季 66.5 分為高，反映電郵威脅風險比上季有所提升。網絡釣魚及商業電郵詐騙（BEC）攻擊非常活躍，處於「高」風險級別水平，其中商業電郵詐騙攻擊比上季增長42.2%。

根據 Green Radar 電郵安全監控中心（SOC）統計數據顯示，LinkedIn、DHL和HSBC三大品牌最常被冒充，當中 LinkedIn 超越 DHL 成首位。Green Radar SOC 發現，單計 2022 年上半年度，HSBC 已有 13 次被黑客假冒發出釣魚網站、電郵及短信的記錄。黑客利用 HSBC 旗下的電子支付平台假冒為其員工，訛稱協助受害者登記消費券，取得其個人資料再騎劫帳戶騙取資產，涉及款項高達數以億元港幣計。

黑客亦看中蘋果每年 9 月都會進行新品發佈，乘機製作假冒電郵。這些假冒蘋果官方的釣魚電郵，偽裝成蘋果來信表示用戶的Apple ID異常，並附上假網站連結聲稱協助解決問題。一般消費者收到這類電郵之後都會相當緊張而失去判斷力。黑客藉此在電郵中埋藏假網站，誘騙用戶登入並輸入個人和信用卡資料，令黑客輕易取得其帳號密碼和信用卡資料。

不過，其實並非所有網站也難以辨認真偽，從 Green Radar SOC 攔截的電郵中發現，有假扮來自台灣的蘋果官方網站，但錯漏百出，網站內容繁簡不統一，只是用戶依然會因為當時情緒或警覺性不足而落入黑客陷阱。Green Radar 產品營銷執行副總裁李祟基（Francis）表示：「黑客的釣魚電郵攻擊越趨頻繁，不同案例的發生亦反映了用戶缺乏網絡安全意識。」

隨著 NFT 交易持續頻繁，NFT 交易平台 OpenSea 亦不時受到網絡釣魚攻擊。黑客覬覦 NFT 玩家的錢包，精心製作以假亂真的電郵和網站，Green Radar SOC 於本季亦發現不少類似的釣魚電郵，誘騙用家點擊釣魚網站連結並響應對錢包助記詞的請求。黑客借此從用家錢包轉走 NFT 再立即轉手變賣。當中涉及 254 個 NFT 被盜，包括價值不菲的熱門收藏系列無聊猿（Bored Ape Yacht Club）和 Azuki NFT。事件引起關注，也令用家憂心 NFT 的安全問題。 

3 招免 NFT 玩家誤墮黑客陷阱
– 注意電郵發出者是否來自官方電郵，而官方不會要求用家提交錢包的助記詞（seed phrase）
– 使用冷錢包保存資產，交易時務必從官方渠道購買
– 提防加密社交媒體如 Discord 群組內非官方公告連結或是管理員私密留言

至於惡意軟件攻擊方面，今季較上季微跌，而十大惡意軟件家族排行榜的頭三位分別是：
1. UDS:DangerousObject.Multi
2. HEUR:Exploit.MSOffice
3. HEUR.Exploit.MSOffice.CVE-2018-0802

想防範惡意軟件，可留意有否安裝電郵保安方案，能有效降低詐騙電郵或網站侵入軟件漏洞的攻擊率，有助保護電腦不受其他的保安或惡意軟件攻擊。 Green Rader指出，想為企業提供足夠的網絡釣魚詐騙防禦，必須選用合適並完善的電郵保安解決方案，並為員工進行培訓提高其防範意識。