什麼是網路釣魚？

網路釣魚是企業和個人面臨的最常見的網路攻擊。它利用社會工程策略，例如欺騙或脅迫，誘使目標物件做攻擊者想要做的事情，例如交出敏感資料或在其電腦上安裝惡意軟體。由於網路釣魚的目標是人而不是軟體或系統，因此很難檢測，需要提高警覺並採取多層防禦措施才能抵禦。

網路釣魚攻擊是許多類型攻擊的起點，包括憑證竊取、金融詐欺、勒索軟體入侵和資料外洩。透過偽裝成合法的電子郵件、簡訊、電話或社群媒體通信，他們繞過目標的防禦，達到攻擊者的目的。

本文詳細分析了網路釣魚威脅，包括其運作方式和最常見的攻擊類型。它還探討了個人和企業可以採取的最佳實踐來抵禦這種常見的攻擊。

了解網路釣魚

網路釣魚是一種社會工程攻擊，這意味著它的目標是人，而不是軟體漏洞。通常，其目的是洩露敏感訊息，例如用戶憑證，但它也可能被用來傳播惡意軟體。

電子郵件是網路釣魚內容最常見的傳播媒介，但攻擊者也可以使用其他媒介。網路犯罪分子越來越多地利用簡訊、社群媒體和企業 SaaS 應用程式向目標用戶傳播惡意連結或惡意軟體。

網路釣魚是一種無所不在的威脅，也是大多數資料外洩事件的根源。網路犯罪分子利用網路釣魚來實現各種目的，例如竊取憑證、獲取經濟利益和傳播惡意軟體。例如，勒索軟體業者通常使用網路釣魚將惡意軟體傳播到目標環境。

常見的網路釣魚攻擊類型

網路釣魚攻擊是網路威脅行為者最常用的手段，因為它們非常有效，但實施起來幾乎不需要任何技術知識。隨著時間的推移，網路犯罪分子開發了一系列不同的網路釣魚技術，旨在利用新技術、繞過傳統安全解決方案，並使攻擊者能夠實現其各種目標。下表詳細列出了幾種最常見的網路釣魚攻擊形式。

攻擊類型	描述	共同目標	配送方式
電子郵件釣魚	誘導點擊或下載的通用惡意電子郵件	普通用戶	電子郵件
網路釣魚	高度針對性的個人化攻擊	具體個人/組織	電子郵件、LinkedIn、內部
斯米辛	透過欺騙性簡訊進行網路釣魚	行動用戶	SMS
語音合成	透過電話冒充他人進行語音釣魚。	高階主管、客戶服務	電話
捕鯨	針對高階主管的網路釣魚	高階主管領導	電子郵件、語音
克隆釣魚	合法電子郵件被複製並修改，植入惡意內容。	內部團隊、合作夥伴	電子郵件
釣魚釣魚	社群平台上的假客服帳號	社群媒體用戶	Twitter、Facebook 等。
鎮壓	惡意二維碼會將使用者重新導向到釣魚網站	活動參與者、行動用戶	QR 圖碼

電子郵件釣魚

電子郵件網路釣魚通常旨在誘騙使用者點擊惡意連結或開啟含有惡意軟體的附件。一個常見的藉口是假裝使用者帳號出了問題，引導他們到登入頁面解決問題。然而，該連結會將他們引導至一個外觀相似的釣魚網站，該網站會竊取他們的憑證。

網路釣魚

魚叉式網路釣魚郵件比一般的網路釣魚攻擊更具針對性，它們專注於特定個人或小群體，並使用個人化資訊使其看起來更可信。例如，攻擊者可能會從使用者的 LinkedIn 個人資料或公司網站收集訊息，以便提及姓名或特定項目。

簡訊釣魚（SMS Phishing）

簡訊釣魚攻擊透過簡訊發送釣魚內容。這些攻擊通常利用用戶對簡訊的警覺性較低，以及難以確定簡訊中短連結的目標。

語音釣魚（Vishing）

語音釣魚攻擊使用與網路釣魚相同的社會工程技術，但它是透過語音通話而不是書面訊息進行的。攻擊者通常會冒充客戶支援人員、IT 人員或政府僱員，誘騙目標提供敏感訊息，或允許攻擊者遠端存取其電腦以安裝惡意軟體。

捕鯨

鯨釣攻擊是一種針對知名人士（例如組織的執行長或財務長）的魚叉式網路釣魚攻擊。由於這些人在組織內擁有相當大的權力，因此他們是旨在透過虛假交易或發票竊取企業資金的攻擊的主要目標。此外，被攻擊者欺騙的CEO可能會命令員工按照攻擊者的意願行事。

克隆釣魚

克隆式網路釣魚攻擊會複製合法電子郵件，建立帶有惡意連結或受感染附件的版本。這些電子郵件很難被發現，因為它們的內容合法且逼真，只是攻擊者植入了惡意元素。

釣魚釣魚

釣魚式網路釣魚攻擊旨在透過欺騙性地使用社群媒體，誘使目標用戶向攻擊者靠攏。例如，攻擊者可能會冒充知名品牌的客戶服務帳號，以解決使用者問題或疑慮為幌子，收集使用者的敏感資訊。

二維碼釣魚（QR Code Phishing）

釣魚攻擊利用二維碼對指向釣魚網站的惡意連結進行編碼，這些網站會竊取登入憑證或支付卡資料。這些二維碼可能會張貼在活動的標誌上，或包含在電子郵件中，目的是讓使用者使用未受企業網路安全解決方案保護的個人裝置掃描它們。

網路釣魚的運作原理

網路釣魚攻擊透過欺騙和操縱手段，誘使目標對象依照攻擊者的意願行事。最常見的技巧之一是製造緊迫感，讓受害者相信他們需要立即採取行動，而不是去思考電子郵件是否合法。

攻擊者可能會透過暗示使用者帳戶出現問題或（未經授權的）交易已被批准來達到此目的。攻擊者透過激起目標對象的恐懼或好奇心，增加他們點擊連結或開啟並執行附件中惡意軟體的可能性。

對於具有惡意連結的網路釣魚攻擊，攻擊者很可能會創建一個模仿可信任品牌的網路釣魚頁面。當使用者嘗試登入網站時，攻擊者可以收集他們的憑證，並使用這些憑證存取使用者的真實帳戶。

網路釣魚攻擊的真實案例

網路釣魚攻擊可以針對任何規模的組織，並造成重大的業務影響。以下是一些備受矚目的網路釣魚攻擊案例：

• 變革醫療保健：2024 年，聯合健康集團旗下子公司 Change Healthcare遭遇資料洩露，導致約三分之一美國人口的醫療資料外洩。
• Google和臉書：2013 年至 2015 年間，一名攻擊者向Google和 Facebook發送虛假發票，造成 1 億美元的損失。

預防和減輕網路釣魚威脅

網路釣魚攻擊的目標是人而不是技術，因此提高防範意識對於制定網路釣魚預防策略至關重要。如果使用者了解常見的釣魚技巧和藉口，就不太可能上當受騙。

然而，安全意識培訓並不完美，應該輔以技術控制措施。網路釣魚防範策略的關鍵要素包括電子郵件過濾、多因素身份驗證和安全網路網關，如下表所示。

儘管進行了嚴格的訓練和控制，但攻擊仍有可能出現漏洞。因此，組織也應該制定事件回應計劃，以限制對組織可能造成的傷害。

科技	描述	實施技巧
員工培訓	對使用者進行網路釣魚識別和安全行為教育	進行模擬網路釣魚測試和定期安全意識培訓
電子郵件過濾	封鎖已知的釣魚網域、惡意附件和偽造的寄件者	使用與雲端電子郵件服務整合的先進威脅偵測技術
多因素身份驗證 (MFA)	增加額外的驗證步驟，以防止未經授權的訪問	要求所有使用者帳戶和管理入口網站啟用多因素身份驗證 (MFA)。
安全性 Web 閘道 (SWG)	即時檢查網路流量，阻止對惡意URL的訪問	將SWG與威脅情報源集成
事件回應計劃	針對網路釣魚相關安全漏洞，採取結構化方法進行遏制和恢復	明確角色、操作手冊和事後溝通管道

Cato Networks 的網路釣魚防護方法

Cato 的SASE 框架整合了反釣魚防禦措施，以幫助組織實施多層防禦以抵禦這種威脅。關鍵要素包括：

• 安全性 Web 閘道 (SWG)：基於雲端的SWG可阻止使用者瀏覽已知的釣魚網頁，防止使用者輸入憑證或下載惡意軟體。
• 威脅情報：從 Cato 的全球網路取得的威脅情報可以讓我們了解最新的網路釣魚活動，包括相關網域名稱、IP 位址、藉口和惡意軟體。
• 交通檢查：對網路流量進行即時檢查，可以識別並阻止釣魚內容到達其預定目的地。

關於網路釣魚的常見問題

如何識別釣魚郵件？

釣魚郵件可以透過不熟悉的寄件者地址、可疑的連結、不尋常和意想不到的附件以及具有威脅性或製造緊迫感的語言來識別。

如果我懷疑遇到網路釣魚攻擊，該怎麼辦？

如果您懷疑遇到網路釣魚攻擊，請不要點擊連結或下載文件，並刪除該電子郵件。請將此訊息報告給您的IT部門，以便他們採取措施緩解攻擊。

Cato Networks 如何幫助防範網路釣魚？

Cato 的融合安全平台整合了安全 Web 閘道 (SWG) 和即時流量偵測，可在網路釣魚內容到達目標之前識別並封鎖它。

提高意識和採取行動至關重要

網路釣魚攻擊是網路安全面臨的主要威脅之一，攻擊者不斷改進其技術，以提高攻擊的成功率。隨著網路釣魚內容變得越來越複雜，各組織需要強而有力的安全意識培訓，並輔以多層反釣魚控制措施。了解Cato SASE 雲端平台如何在網路釣魚威脅到達您的收件匣之前將其消除，請安排個人化簡報。