根據ASRC 研究中心 (Asia Spam-message Research Center) 與中華數位科技的觀察，2019 年垃圾郵件與病毒郵件的數量呈現均勻分布，但是相較於 2018 年，數量稍有成長。郵件量爆發、詐騙郵件與釣魚攻擊在 2019 年第四季消費旺季時達到全年高峰；BEC詐騙郵件的數量雖然降低，並不表示 BEC 詐騙的風險跟著下降了，相反的，BEC 詐騙郵件顯得更有策略性。CVE-2014-4114、CVE-2018-0802、CVE-2017-11882這三個 Microsoft Office 文件漏洞利用全年可見；2019 第一季被揭露的 WinRAR 漏洞 (包含CVE-2018-20250、CVE-2018-20251、CVE-2018-20252與CVE-2018-20253)，皆被用於APT攻擊或是滲透測試、紅隊演練。
BEC 詐騙郵件數量減少，不代表風險跟著降低
2019年 BEC 詐騙與 419 詐騙郵件總量相較 2018 年的總量下降；雖然 BEC 詐騙郵件下降的幅度高於 419 詐騙，並不表示 BEC 詐騙的風險跟著下降了。相反的，BEC 詐騙郵件顯得更有策略性，駭客不會過早介入商談中的交易，也減少接觸不必要收到 BEC 郵件的人員，以提高 BEC 詐騙的成功機率。
信任來源飽受挑戰，熟知的網域連結、熟人的郵件都可能隱藏惡意攻擊
電子郵件的可信度不斷的受到挑戰，在 BEC 事件頻傳的情況下，對於郵件中提及異常的變更事項，都需要特別留意，尤其是匯款帳號變更，一定要透過電子郵件以外的管道再次進行確認。
其次，需要特別注意的是在電子郵件內的超連結。並非超連結帶有可信賴的網域名稱就不會有威脅，也不是所有惡意的超連結都必然會下載惡意程式，或需要被攻擊者配合輸入帳號密碼相關資料，畢竟，並非所有人使用網路服務都會隨手登出。在 2017 年開始出現釣魚郵件結合 Google OAuth，就是企圖蒙騙收信人透過點擊一個共享文件的連結，授與攻擊者存取 Google App 的權限，如今類似的手法也開始出現在 Office 365。
最後，白名單一定要慎用，看似來自熟知的同事、供應商的郵件，也有可能隱藏惡意攻擊。供應鏈攻擊是國家級資助的 APT 攻擊常用的手段。攻擊者的主要目標可能具備了很高的警戒意識與防護能力，因此攻擊者可從主要目標的合作對象下手，之後再透過主要目標對合作對象的信任，直接穿過各種防護措施進行攻擊。
合法域名空間遭到濫用的實例
釣魚郵件與詐騙郵件氾濫，在第四季消費旺季達到高峰
2019 年帶有惡意連結的電子郵件數量，約是 2018 年的 2.8 倍。釣魚郵件為了取信收件者點擊，多半會使用一些在地化用語及社交工程的手法。由於釣魚郵件主要目的是騙取網路服務的帳號密碼或其他機敏資料，因此多半在點擊之後，會透過瀏覽器連往一個收集這些機敏資料的釣魚網站或釣魚表單，再誘騙受害者輸入其機敏資料。
瀏覽器的開發商也注意到類似的問題，於是紛紛在網址列加入了檢查與提醒的功能，希望能藉此保護使用者。然而攻擊者也改變了做法，在電子郵件中直接夾入一個惡意的靜態 HTML 頁面，誘騙收信人填入機敏資料，但是這個頁面透過瀏覽器打開時，網址列顯示的是本地端的儲存位址而非遠端的釣魚網站。當收信人填完資料按下送出後，瀏覽器即以 POST 搭配加密連線的方式，將機敏資料送往釣魚網站，這樣的釣魚手段能略過多數的瀏覽器保護措施。這類型的攻擊郵件，在 2019 年第四季消費採購高峰期大量出現。
惡意的靜態HTML釣魚檔案
Office 文件漏洞經典穩定，駭客依舊愛用
經典穩定的 Office 文件檔漏洞，一直是攻擊者愛用的武器之一。除了作業人員、防毒軟體對文件型檔案的警覺性較低外，許多人所使用的 Office 不會經常性的更新。據 ASRC 統計，2018 年最常見的郵件漏洞利用攻擊為 OLE 漏洞 (CVE-2014-4114) 與方程式漏洞 (CVE-2017-11882)。2019 年，CVE-2014-4114 仍持續被利用，且在第三季爆發相當大量的攻擊樣本，主要目標產業為電子、食品、醫療相關產業；CVE-2018-0802 則做為 CVE-2017-11882 其後續的衍生變形攻擊持續存在。2020 年初甫被披露的 CVE-2020-0674 及其後續影響力，也需持續關注。
2020年將是5G基礎建設部署、成熟加速的一年，隨著整體網速的加快，行動應用服務將更趨複雜化，因此，個人資訊遭到刺探、洩資的速度與規模、攻擊的速度及頻率，都會跟著大幅提高；而惡意程式也可以不必再拘泥檔案大小的限制，更可朝向功能完備的方向作發展；加上量子電腦、雲端運算的推波助瀾，資安事故的發生與危害程度可能是過去難以想像的。電子郵件仍會是網路攻擊重要的入侵管道，單純的帳號密碼防護力漸趨薄弱，多因素驗證已是勢在必行。以適當的安全作業流程搭配郵件安全防禦設備，減少人員接觸問題郵件的機會才能有效避免攻擊事件的發生。中華數位 SPAM SQR 及其 ADM 進階防禦機制，可協助企業攔截各種新型態攻擊郵件，歡迎來電申請免費試用 02-2543-2000。
About Version 2
Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.
關於中華數位科技 Softnext Technologies Corp.
創立於2000年8月。
秉持著【We Secure Your Content】的服務理念，以提供企業資訊應用管理服務及打造資訊內容安全防護為宗旨。專精於提供網路應用服務技術，根據市場需求推出多款資訊內容安全的解決方案及應用服務，能夠協助企業透過符合資安管理規範並遵循法規的方式進行資訊內容安全管理，以維護員工的生產力、提升企業經營績效。
關於 ASRC 垃圾訊息研究中心
ASRC 垃圾訊息研究中心 (Asia Spam-message Research Center)，長期與中華數位科技合作，致力於全球垃圾郵件、惡意郵件、網路攻擊事件等相關研究事宜，並運用相關數據統計、調查、趨勢分析、學術研究、跨業交流、研討活動..等方式，促成產官學界共同致力於淨化網際網路之電子郵件使用環境。更多資訊請參考 www.asrc-global.com .
