不法份子近年的網絡攻擊手法愈趨高明,公眾一旦掉以輕心,很容易會墮入魔爪之中。 網絡安全公司Check Point近日就揭示,發現網絡犯罪分子透過Google工具,尤其是Google日曆(Google Calendar)和Google繪圖 (Google Drawings),針對約 300 個品牌發起精密網絡釣魚攻擊,將釣魚郵件偽裝成來自Google日曆的訊息,並冒充已知和合法的用戶發送電郵,嚴重威脅網絡安全環境。
Check Point表示,僅於兩週內便偵察到超過2,300封,利用上述提到的方式,所製造出的釣魚郵件,突顯這一網絡威脅迅速惡化的程度。據稱,這些釣魚攻擊最初是透過Google日曆內建的便捷功能,嵌入引導至Google Forms的連結。然而,目前已有安全措施已能夠識別相關手法,網絡犯罪分子隨即調整攻擊策略,轉而濫用Google繪圖功能。
他們透過方法誘騙使用者點擊惡意連結或附件,然後進入假冒加密貨幣平台或技術支援網站的詐騙頁面,最終竊取機構的機密資訊或個人資料。一旦受害者不慎洩露敏感資訊,相關數據便可能被用於金融詐騙,包括信用卡被盜用或未經授權交易等非法行為。被竊取的資訊還可能被用於繞過其他帳戶的安全防護措施,進一步導致帳戶被入侵,造成更嚴重的損失。
Check Point 香港及澳門總經理周秀雲強調,網絡犯罪分子在針對廣受信任的網上平台時展示了不斷演變的網絡攻擊手法,並反映出了他們面對日益強化網絡安全措施的高度適應性。企業必須保持警惕。
為保護用戶免受此類釣魚威脅及其他網絡風險所影響,Check Point呼籲機構可採取以下建議措施:
- 採用先進的電郵安全解決方案:即使網絡犯罪分子攻擊手法涉及操縱 Google 日曆和 Google 繪圖等受信任的平台, Harmony Email & Collaboration等解決方案能夠有效識別並攔截複雜的釣魚攻擊,高效能電郵安全解決方案包括附件掃描、URL 信譽紀錄檢測以及由 AI 驅動的異常行為識別。
- 監控第三方 Google 應用程式的使用情況:採用專門檢測並預警第三方應用程式可疑行為的網絡安全工具,並及時向機構發出可疑活動的警告。
- 採用強效的身份驗證機制:安全管理員應將在企業帳戶上全面實施多重身份驗證 (MFA) 視為首要任務,以加強帳戶安全。此外,安全管理員應進一步採用行為分析工具,偵測異常登錄或可疑活動,包括加密貨幣相關網站的訪問紀錄。
對於擔心收到詐騙郵件的用戶,則可參考以下建議措施:
- 謹防虛假的 Google 日曆活動邀請:如果日曆活動邀請包含意料之外的資訊,或要求您執行異常步驟(如完成驗證碼互動 「CAPTCHA」),請避免點擊或操作。
- 仔細檢視電郵內容:在點擊連結前,務必謹慎,先將滑鼠懸停於連結上檢查網址,或直接在 Google 搜尋欄手動輸入網址進行訪問,以確保安全性。
- 啟用雙重身份驗證:對於 Google 帳戶及其他儲存敏感資料的帳戶,務必啟用雙重身份驗證(two-factor authentication)。即使帳戶憑證遭洩露,此措施仍能有效阻止不法分子存取帳戶。
針對這些事件,Google建議用戶利用內建的安全設定以降低網絡風險。Google表示:「我們建議用戶啟用 Google Calendar 中的『已知寄件者』功能。若用戶收到來自非聯絡人名單的邀請或過去未曾透過電郵互動過的地址,該功能會向用戶發出警示,從而防範此類釣魚攻擊。」