智慧釣魚攻擊再進化　微軟發警訊

編譯／Cynthia

近日，微軟公司發出警訊，指出釣魚攻擊正迅速升級，變得更加智慧。這種新型攻擊技術稱為「中間人攻擊（adversary-in-the-middle，AiTM）」釣魚，是駭客新的威脅手法。與此同時，釣魚即服務（PhaaS）模式也在逐漸擴散，也成為駭客的新趨勢。

新型攻擊背後的威脅

這種新型的中間人攻擊釣魚技術（AiTM）已經開始引起資訊安全界的高度警覺。與傳統的釣魚攻擊不同，AiTM攻擊更具智慧化，能夠更精準地模仿合法網站的登入畫面，同時規避多因素驗證（MFA）等安全防護，進而騙取使用者的敏感資訊。

更多新聞：伊朗駭客冒充以色列人　針對LinkedIn網路釣魚攻擊

新趨勢：釣魚即服務（PhaaS）

除了新型攻擊技術，釣魚即服務（PhaaS）也開始嶄露頭角。這種模式提供了一種便利的方式，讓駭客能夠更容易地進行釣魚活動。PhaaS平台包含各種工具，幫助駭客建立偽造網站、誘餌郵件和欺騙性登入頁面，並引誘受害者提供敏感資訊。駭客只需少量設置，即可展開高效攻擊，加劇個人資料外洩和金錢損失風險。PhaaS也帶來防禦挑戰，防護需不斷升級以因應不斷變化的攻擊手法。駭客更為隱匿，使追查和打擊變得困難。保護自身免受PhaaS威脅，需保持警惕，避免點擊可疑連結和郵件，同時加強對釣魚攻擊的識別，能更好地維護個人隱私和數據安全。微軟警告指出，這種模式正快速擴散，成為駭客的新趨勢。

攻擊手法的升級與防範之道

AiTM攻擊技術運作方式有兩種：首先，它通過反向代理伺服器中繼流量，暗中竊取用戶的憑證、雙因素驗證代碼和會話Cookie。其次，它透過同步轉發伺服器呈現偽造的登入頁面，誘使用戶輸入敏感資訊。雖然新型釣魚攻擊威脅加劇，但我們仍能夠採取一些措施減少風險。微軟建議，不要輕易點擊不明連結，並加強使用多因素驗證（MFA）來提升帳戶安全性。

維護數位安全的責任

微軟的警告提醒我們，駭客分子的攻擊技術正在不斷演進。在瀏覽網頁、收信郵件時，要保持高度警覺。避免輕易點擊不明連結或開啟來路不明的郵件附件，以免陷入AiTM攻擊的陷阱。並且能定期更新電腦、手機、應用程式的安全修補程式，確保防護措施是最新的，能夠防止已知的安全漏洞。在可能的情況下，啟用多因素驗證（MFA），這樣即使駭客獲取了一部分登錄資訊，也無法輕易進入帳戶，提升帳戶的安全性。提升對釣魚攻擊和AiTM技術的認識，特別是在企業內部，應培訓員工識別可疑郵件和網站的能力，避免不必要的風險。保護個人隱私和資料安全，需要我們時刻保持警惕，學習適當的安全措施，透過共同努力，才能確保在數位環境中的安全。

資料來源：The Hacker News

瀏覽 972 次