粉絲團
利用電子郵件管道，引導受害者至假冒版的微軟Office 365 登錄頁面，暗中趁機盜取帳密。範例如圖所示。（圖翻攝微軟官方部落格）
微軟於官方部落格文章，揭露最新的全球性大規模網路釣魚惡意攻擊的手法，以鎖定企業用戶端使用的Office 365 Email 商務電子郵件為主要的特定目標，趁機發動變臉伎倆的惡意詐騙活動（或稱商務電子郵件入侵，簡稱BEC），利用偽裝成盜用帳戶的身份，寄送「電匯資金」請求的郵件，發信給與該帳號相關的業務合作伙伴，並擅自把匯入資金的銀行帳號竄改為駭客的私人帳號，從中牟取不當獲利。
微軟進一步指出，由於此新型態的惡意釣魚攻擊手法與詐騙伎倆，沒有夾帶惡意軟體，相較於過去傳統的網路釣魚活動更加難以偵測與攔截，尤其是竟能巧妙地繞過MFA多重身份驗證機制（或稱雙重身份驗證的2FA機制），若沒有經過多方實體的查證與確認，就很容易誤入釣魚郵件的詐騙陷阱，平白損失一大筆金錢。
新型態的網路釣魚活動，非法取得盜取的帳戶密碼後，後續再發動另一波入侵商務電子郵件的「變臉」金融詐騙活動，擅自發信給雙方有業務合作密切關係，向對方要求需把資金匯入到遭暗中竄改的銀行帳戶。（圖翻攝微軟官方部落格）
對此，微軟給出抵禦商務電子郵件入侵攻擊、防範帳號遭盜用的網路釣魚詐騙活動，建議可採取強化身份驗證與身份識別的資安防護技術。也就是說，除既有的MFA多重身份驗證機制（或稱雙重身份驗證的2FA機制）之外，同時，還需具備有新一代支援 FIDO v2.0版技術的網路身份識別認證（如：使用支援實體安全金鑰的USB裝置），以確保一旦不慎連線到假冒版的網站或網頁時，遭非法入侵的帳戶密碼將無法通過，可有效提升更高安全層級的防護能力。
另，在防範惡意攻擊活動方面，則可藉由定期監控與安全偵測，嚴加防範任何出現可疑非法登入、或帳號出現異常的登錄活動，以阻止攻擊者嘗試使用來自不受信任的 IP 地址、或來自陌生裝置的攻擊方式，作為資訊安全防護的預防對策。
你可能也想看
