越來越多駭客以旅遊為主題,試圖利用網路釣魚竊取資料,包含帳戶憑證、財務資訊等,再將這些資訊透過黑市販售。舉例來說,美國聯邦調查局(FBI)日前才發出警告,提醒消費者不要在機場、商場、旅館等公共場所使用USB接口充電,避免讓駭客有機會在裝置中載入惡意軟體,進而竊取資料,讓使用者淪為USB 充電陷阱攻擊(Juice Jacking)的受害者。
以旅遊為主題的網路釣魚不斷增加
駭客為了進行社交工程攻擊,常常會利用惡意網域和網址,假扮成消費者熟知的品牌和網站,用這些惡意網域或網址的內容來誤導消費者,因為它們看起來、感覺起來都很像之前熟悉的網域或網址。
駭客也可能將網路釣魚電子郵件傳送給消費者,誘騙他們下載惡意附件或點選惡意內容連結,可能是網頁或附件。他們還會使用帶有急迫感的主題(如未支付的帳單)或針對使用者情感訴求的主題(如當全球邊境開始開放,送出以旅遊主題的電子郵件)。
Palo Alto Networks Unit 42分析了2019年10月至2021年8月間,以旅遊為主題的網路釣魚網址。惡意的網路釣魚網址註冊數量在2021年初逐漸增加,到2021年6月開始大幅成長。儘管後來新註冊的網路釣魚網址不像6月份數量如此之多,2021年整個夏季,駭客新創造以旅遊為主題的網路釣魚網址,還是遠多於2020年任何時候。
根據Unit 42的觀察,新的網路釣魚網址除了使用特製或新網域外,惡意份子也會利用bit.ly和bit.do等短網址服務,以及Google Cloud Storage上的Firebase服務等。Google是Firebase的提供者,Firebase支援行動裝置或網頁應用程式的開發者。Firebase提供包括雲端儲存功能,讓開發者可以儲存和提供使用者生成內容。由於Firebase使用Google Cloud Storage,網路釣魚網址就可能利用它繞過Google信任評級的郵件保護機制。
Unit 42也注意到,並非所有網路釣魚網址都被惡意分子用來做定向攻擊;部分網址被用在惡意郵件攻擊活動,用來管理惡意內容,Dridex就是一例。
Dridex運用以旅遊為主題的網路釣魚網址
Dridex是一種典型透過惡意電子郵件大量傳播的惡意軟體,目的要竊取資料。背後的駭客通常利用發票或帳單為主題的電子郵件,這也是多數大量傳播惡意軟體的常用策略。被入侵或帶有惡意的網址託管了Dridex初始安裝程式,目的是建立後門存取。如果最初感染沒被發現,Dridex會透過建立的後門開始散佈後續的惡意軟體攻擊,包括勒索軟體。Dridex利用的網域通常是合法但已受病毒感染的網站。
惡意份子不當使用Firebase
駭客已經攻擊了多個旅遊機構,駭客也使用Firebase來管理網路釣魚頁面,用來針對旅遊業員工及其客戶。受害機構包括旅遊租賃線上平台、高級連鎖飯店、渡假村管理公司和Tui(英國途易)等航空公司。
惡意攻擊者如何運用網路釣魚竊取資料
網路犯罪份子通常希望從攻擊取得「資料」中獲利,對於蒐集到的旅客和旅遊機構的資料也不例外。我們注意到,惡意份子會透過兜售竊取來的帳戶憑證、客戶資料或付款資訊來牟利。Unit 42研究人員也注意到疫情期間,網路罪犯在黑市販賣旅遊相關的產品與服務大幅減少,或許是由於全球旅遊限制的緣故,但我們預期供需將會隨著全球旅遊市場開放而增加。
網路罪犯份子常透過以下三種方式不當使用此類竊取來的資料。
- 盜用身份:運用從網站A竊取的個人資料在網站B上建立新帳戶。因為受害者對於網站B的帳戶不知情,日後也較不會被發現。
- 搜集情报:利用資訊蒐集情報並替網路釣魚攻擊做準備。
- 兜售資料:資料可輕易轉賣給其他罪犯份子、詐欺犯或不法行銷服務業者,做進一步利用。
防禦作法
針對個人:
- 點擊任何可疑郵件中的連結或附件時要格外小心,特別是和個人帳戶設定或個人資訊有關,或試圖傳達急迫感的郵件。
- 驗證收件匣中任何可疑郵件的寄件人地址。
- 輸入登入憑證前,再三確認各網站的網址和資安認證。
- 回報任何可疑的網路釣魚攻擊。
針對組織:
- 強化SASE部署,無論使用者、應用及裝置從何處連網,都能為組織提供安全存取、保護網路安全。
- 實施資安意識訓練課程,提高員工識別詐騙電子郵件的能力。
- 定期備份資料,防禦透過釣魚郵件進行的勒索軟體攻擊。
- 針對所有業務相關登入進行多因子認證,多一層資安防護。