網路犯罪的大遷移：為何威脅行為者紛紛湧向 Telegram

網路犯罪的大遷移：為何威脅行為者紛紛湧向 Telegram

瞭解研究範圍

為了量化這一轉變，NordLayer Intelligence 分析了 2024 年 1 月至 2026 年 5 月期間受監控的闇網論壇和 Telegram 頻道中的貼文數量。該研究聚焦於七個主要的網路犯罪類別：惡意 AI 工具、深偽技術 (deepfakes)、勒索軟體即服務 (RaaS)、資訊盜竊程式 (stealers)、DDoS、惡意軟體以及網路釣魚。

報導中 45% 的數字是 Telegram 在這七個不同類別中的市場份額未加權平均值，而不是所有貼文總合的原始百分比。需要注意的是，這些數據追蹤的是討論量和對話熱度，而非經證實的攻擊事件或受害者數量，且僅限於該平台主動監控的來源。

是什麼推動了向 Telegram 的轉移？

NordLayer Intelligence 的網路安全專家 Vakaris Noreika 指出了推動這一遷移的兩個主要催化劑：

1. 闇網的不穩定化

執法部門對大型駭客論壇（例如 LeakBase）進行了強力且極為成功的查封，嚴重破壞了闇網生態系統。在這些論壇上建立值得信賴的聲譽需要數年的時間。當當局查封一個平台時，社群就會分裂，建立起聲譽的賣家迫不得不從頭開始在更小、未經驗證的論壇上重建信任。

2. 消除技術摩擦

存取闇網論壇需要專用軟體、特定的技術知識，且通常需要專屬的邀請。相反地，Telegram 是一款在任何智慧型手機上都能取得的主流通訊軟體。這種無摩擦的環境使其對希望進入網路犯罪領域的新手威脅行為者極具吸引力。儘管 Telegram 官方安全報告指出今年封鎖了超過 2,000 萬個違規群組和頻道，但犯罪分子在該軟體上建立新頻道的速度，遠比重建遭破壞的闇網基礎架構快得多。

分化的威脅生態系統

儘管 Telegram 呈現爆發性成長，但闇網並未死亡——它只是在演進。威脅格局正分裂為兩個不同的層級：

• 大眾化的 Telegram： 該應用程式充斥著尋求自動化、即插即用工具以發動大規模攻擊的新手。資深駭客也使用 Telegram，但主要是作為宣傳其服務的行銷管道。
• 精英行動的闇網： 高價值、高度敏感的交易仍牢牢根植於闇網中。傳統闇網優越的營運安全性 (Operational Security) 與成熟的審查機制，對於高風險交易來說不可或缺，因為精明的行為者不願意在會與執法部門合作的主流平台上進行高風險業務。

對企業安全團隊意味著什麼

Telegram 討論量的激增並不意味著對手的技術變得更加精湛。相反地，這表明大量低技能的威脅行為者正利用極易取得的自動化工具湧入。IT 部門應為大量易於擴充的「灑網式 (spray and pray)」攻擊做好準備，包括：

• 網路釣魚與憑證竊取
• 自動化帳戶劫持 (Account Takeover) 嘗試
• 租用型阻斷服務攻擊 (DDoS-for-hire)
• 結合深偽技術的社交工程詐騙

減少曝露的具體步驟

為了抵禦這股自動化攻擊的浪潮，組織必須遵循 CISA 建議的基礎網路安全做法：

• 部署防網路釣魚的 MFA： 實施強大的多因素驗證（例如硬體安全金鑰或通行密碼/Passkeys）。防網路釣魚的 MFA 可以抵禦超過 99% 基於身分的攻擊，使遭竊的密碼失去作用。
• 執行嚴格的密碼衛生： 強制要求使用唯一、複雜的密碼，並安全地儲存在可靠的企業密碼管理員中。
• 自動化修補程式管理： 保持作業系統和應用程式持續更新。漏洞利用已連續第六年成為最常見的初始入侵途徑。
• 最小化數位足跡： 限制公開存取的企業資料並審查隱私設定，以減少可用於生成深偽內容和精準社交工程的原始素材。
• 利用闇網監控： 當憑證外洩時，時間至關重要。跨闇網和 Telegram 的持續監控可以提供早期預警，讓安全團隊能在攻擊者採取行動前強制重設密碼並撤銷存取權限。