2014年，距第一封電子郵件出現的時間，大約已經過了45年，這個實用的通訊管道，至今仍無法從我們生活中被忽略。越是人們依賴的工具，就越容易遭到有心人士濫用，距今約36年前，第一封垃圾郵件被發出後聽到電腦發出「You''ve got mail」的聲音，就不一定是一件十分快樂的事。揮別2013年，ASRC研究中心的統計發現，垃圾郵件的總量並不再盲目成長，主要發送國也由西方國家慢慢移往亞洲區域；我們也整理了2013年幾個重大事件，與2014年您需要特別留意的電子郵件安全趨勢，希望能藉此讓您遠離來自電子郵件中的安全威脅。
2013垃圾郵件與威脅郵件趨勢
2013年的垃圾郵件總量佔比，年初稍低之後大概趨於穩定，大約佔總郵件的80%左右，在2014年整體垃圾郵件總量佔比，應不會有太大的波動，在這個強調精準行銷的時代，「量」已經不是最大的重點，準確度才是，對於惡意攻擊郵件來說也是如此。
圖1 垃圾郵件發送來源國家統計圖 (圖片來源：ASRC垃圾訊息研究中心提供)
在2013年我們可以觀察到病毒郵件在整體垃圾郵件的佔比，有慢慢升高的趨勢。在ASRC的統計，所謂的病毒郵件指的是可即時被防毒軟體偵測出的威脅郵件。
威脅郵件統計是指無法即時被防毒軟體偵測出，而需要經過一段時間或以其它方法額外驗證的威脅郵件。所以威脅郵件統計整體比例呈現下降，這並不意味著威脅郵件的減少，而可能是防毒軟體對於威脅郵件的辨識能力有逐步提高的趨勢，部份的防毒軟體也強化了辨識不帶惡意附件，但帶有惡意網址的電子郵件的能力。
2013年重大電子郵件資安威脅
電子郵件如今已經成為駭客主動攻擊的重要管道。在此，我們回顧一下2013年來自電子郵件威脅而導致的重大事件：
* 南韓DarkSeoul攻擊事件
在2013年3月20日，南韓的電視台及許多金融單位的電腦同時發生故障，經事後調查發現，這些故障電腦的硬碟皆被清空，整起事件的起源則可能是來自一封藏有惡意檔案下載器(Downloader)的惡意郵件被開啟的緣故。
* CryptoLocker勒索軟體事件
在2013年10月左右，全球各地紛紛出現被CryptoLocker這隻惡意程式勒索的災情。這隻病毒不同於過往病毒的模式，它發病後並不會將電腦資料摧毀，而是將重要的資料全都加密，並要求受害人在72小時內支付「贖金」，否則就再也無法解密電腦中的資料。而Cryptolocker主要也是透過惡意郵件進行傳播！
圖2 勒索軟體Cryptolocker也是透過郵件傳播 (圖片來源：ASRC垃圾訊息研究中心提供)
* Office文件中的圖片漏洞
2013年11月，出現了以電子郵件夾帶Microsoft文件.docx的0day漏洞，它的CVE編號為CVE-2013-3906，受害的區域主要在中東地區。當收到惡意郵件的受害人以非保護檢視的方式，檢視嵌在限定版本Word中有問題的Tiff檔，即發生感染而成為殭屍電腦，這個漏洞顛覆了過去對.docx安全信賴的認知。
2014年電子郵件安全趨勢
除了回顧2013年整年度的統計與事件外，在2014年我們也建議你需特別留意以下幾個趨勢：
* 電子郵件帳號密碼為主要偷取標的
許多人忽略了電子郵件信箱安全的重要性！試想，您有多少的網路服務密碼忘記後，要藉電子郵件信箱取回？多少的連絡、交易是透過電子郵件的連繫而達成？在2013年我們觀察到許多透過網路免費表單或網站生成器，而做成的釣魚網站。這些釣魚網站的生成速度非常快，存活時間也短，它想要釣的東西不是你的銀行帳號密碼，而是你的電子郵件帳號密碼。竊得的電子郵件帳號密碼後，常見的進一步攻擊有：
* 竊取該電子郵件信箱中的機敏資料。
透過竊得的電子郵件帳號密碼，試著使用其它網路服務。
攔截並修改商務郵件試圖詐取匯款，或攻擊竊得帳號的人際關係鍊。
* 攔截交易郵件並進行詐騙
在2013年攔截交易郵件並進行詐騙，這類商業詐騙郵件更有明顯變多的趨勢。駭客會直接攔截正在商談的商業郵件，(通常發生此問題，電子郵件信箱或電腦可能已被入侵！)複製其內容並竄改連絡管道資訊、匯款帳號資訊後，以移花接木的手法發出詐騙郵件並騙取匯款。
* 弱密碼問題
許多人為方便記憶，將自己的網路服務或E-Mail密碼設得過於簡單，導致強大的資安防護，卻曝險於密碼安全的管理的窘境。在2013年Adobe公司發生密碼外洩事件的統計，約有200萬人使用了「123456」做為密碼；很巧的是，市場研究公司SplashData分析，也將「123456」列為2013年最常見的不安全密碼。
因此2014年除了定時的資安漏洞檢測外，也不要忽略了密碼規則與密碼稽核的落實。
綜上所述，大致可以了解電子郵件的安全重點大致落在對威脅郵件的防護，以及良好的電子郵件密碼管理。威脅、詐騙或釣魚郵件，為取信於收信人，進一步誘發收信人開啟此類惡意郵件，多半會採用各種偽造的手法。根據Google在2013年12月份的調查指出，若企業在收發郵件皆採取來源認證，如：SPF、DKIM…等，將可有效避免部份的惡意郵件進犯；而根據ASRC對台灣地區企業的抽樣調查也發現，台灣企業每日收到的郵件中，約有4成已經採用來源認證，大約有3成的來信是採用SPF的來源認證方式，在此建議您在部署、更新郵件系統時，也可以考慮加入收發信來源驗證機制，以提高電子郵件安全的防護能力。
※關於ASRC垃圾訊息研究中心：
ASRC長期與中華數位科技合作，致力於全球垃圾郵件發展特徵之研究事宜，並運用相關數據統計、調查、趨勢分析、學術研究、跨業交流、研討活動..等方式，促成產官學界共同致力於淨化網際網路之電子郵件使用環境。