神偽裝! APWG報告:近六成網路釣魚網站,使用 HTTPS 協定,

愈來愈多網路犯罪分子建立使用 HTTPS 的釣魚網站,讓網站在瀏覽器顯示起來是安全的….

不像其他許多網路攻擊都會隨著時間演變,網路釣魚(Phishing)攻擊很少偏離社交工程(social engineering )結合惡意檔案或連結的傳統公式。雖說如此,駭客仍舊很努力地讓攻擊更加有說服力,甚至會利用安全性工具。例子之一是用HTTPS協定建立釣魚網站。根據反網路釣魚工作小組(APWG)的2019年第一季報告,這是網路釣魚攻擊越來越常見的趨勢,目前高達58%。

神偽裝! APWG報告:近六成網路釣魚網站,使用 HTTPS 協定

HTTPS已經成為電腦網路進行安全通訊的標準協定,它會加密瀏覽器和網站間的網路流量來確保正在交換的資料內容不會被第三方得知。對要求使用者提供個人資料或帳密的網站(如登入頁面)來說,HTTPS的使用尤為重要。

因為 HTTPS 已經被廣泛地採用,現在瀏覽器都會在缺少使用此協定時通知使用者正在瀏覽“不安全”的網站。網址列出現鎖頭符號通常代表使用者正在進入安全的網域,而沒有鎖頭符號則代表不安全。狡猾的網路犯罪分子會建立使用 HTTPS 的釣魚網站來讓網站在瀏覽器顯示起來是安全的,儘管它是個惡意網站。

為了因應 Chrome 今年起針對未加密的 HTTP 網站標記“不安全連線”,網路釣魚詐騙集團也隨之申請 SSL 憑證,用以掩人耳目。提醒大家有掛鎖圖示的網址列代表著這網頁傳輸的資料獲加密保護,但並非證明這網站安全無虞。道高一尺,魔高一丈,還是交由趨勢科技 PC-cillin 2019 雲端版幫你把關,當你搜尋時 PC-cillin 會以紅色標示危險網址,綠色標示安全網址; 如下圖顯示, 如果你因一時不察點入詐騙購物網站時, PC-cillin會封鎖該網站,不會讓你荷包失血。


PC-cillin 以紅色標示危險網址,綠色標示安全網址,要下單前讓 PC-cillin 幫你的荷包把關

[延伸閱讀:「你肉腳」這個詐騙購物網站 , 台語發音令受害人好崩潰! 「https 」開頭的一頁式詐騙廣告夾帶在 Yahoo 首頁熱門新聞中! ]

使用HTTPS協定需要啟用TLS或SSL憑證。這些憑證一般來說需要購買,所以之前網路犯罪份子在釣魚網站使用HTTPS是種昂貴的做法。但現在有許多服務都可以免費提供TLS和SSL憑證,這代表現在任何人(甚至是網路犯罪分子)都能更加輕易在網站使用HTTPS。網路犯罪分子甚至可以入侵合法網站當作釣魚網站,讓潛在受害者更難區分哪些網站是安全的。

網路釣魚攻擊利用HTTPS已經變得如此普遍,所以FBI也在本月早些時候發布公告來警告使用者。

" alt="" />

三招防範網路釣魚攻擊

幸運的是,儘管有大量的釣魚網站使用HTTPS,使用者還是有些方法可以對抗網路釣魚攻擊:


「ɢoogle.com」、「Google.com」哪裡不一樣?

  1. 識破網路釣魚信件特徵。 拼寫錯誤、內文缺乏脈絡,甚或是簽名檔看起來不同,這些都是危險訊號。 趨勢科技發現為數不少的 網路釣魚 (Phishing)利用類似網址的分身詐騙事件,比如將網址的英文字母 L 改成數字 1,相關案例有 Paypal 被改成 Paypa1 ;Google 被改成 Goog1e,利用雷同 URL ,企圖矇騙臉友點擊。
    1. 點擊連結或下載附件前要先三思。 僅僅因為網站使用 HTTPS 協定或看起來正常並不代表它就是安全的。尤其是現在網路釣魚手法「神偽裝」能力愈來愈’強,有時還會以訂單問題、發票中獎…為信件主旨,甚至偽裝成當機狀態跳出藍色畫面, 讓人不小心按下連結中招, 一個看起來很真的銀行網站也可能是山寨合法的網站。
  2. 使用具有防止網路釣魚功能的防毒軟體 ,如 PC-cillin 雲端版 ,其先進的網路釣魚(Phishing)防範技術能協助您避免掉入這些詐騙陷阱當中。PC-cillin 利用 Smart Protection Network™ 龐大的惡意網站資料庫來防止您連上曾經散布惡意軟體或從事網路詐騙的網站。》 即刻免費下載試用

[延伸閱讀: 真假大對決:網路釣客針對LinkedIn、 PayPal 、Apple、LINE的網路釣魚技倆]

機器學習驅動的趨勢科技解決方案

為了加強安全防護並進一步地保護使用者,企業可以採用像趨勢科技 Cloud App Security™這樣的安全產品,它採用了機器學習(Machine learning,ML)來協助偵測和封鎖網路釣魚攻擊。當可疑的釣魚郵件寄給員工時,它會先對寄件者、內文和網址進行信譽評比分析,接著用電腦視覺和AI技術來檢查其餘網址是否含有偽造網站元件。此外,它還會檢測郵件本文和附件檔內的內容是否可疑,同時提供沙箱惡意軟體分析以及文件漏洞攻擊偵測等功能。

@原文出處:HTTPS Protocol Now Used in 58% of Phishing Websites