什麼是藉口詐騙？攻擊、範例與技術

隨著技術不斷演進，網路犯罪在網路世界中變得越來越複雜，尤其是在使用與技術發展相關的手法時更是如此。事實上，有一種稱為 pretexting 的方法，這是一種社交工程形式，透過向某人提供虛假資訊，誘使其洩露敏感資訊。不同於利用技術弱點的傳統駭客手法，pretexting 利用的是人類心理、信任以及權威地位。

隨著營運日益數位化，組織對各種形式的網路攻擊變得愈加脆弱，而其中最陰險的一種就是藉口詐騙。在大多數情況下，犯案者會從社群媒體及其他線上媒體取得受害者的相關資訊。透過冒充受信任的人物，例如同事、IT 支援人員或供應商，攻擊者可以與個人互動，並說服他們洩露關鍵資料，例如密碼或財務資訊。

其中一個著名案例是 2015 年對 Ubiquiti Networks 的攻擊。在此案例中，攻擊者透過冒充其高階主管進行滲透，並要求將詐騙款項匯入其銀行帳戶，金額高達驚人的 4,670 萬美元。

本文將深入解析藉口詐騙，說明其定義、與網路釣魚的差異、對組織的影響、手法、詐騙類型、偵測策略以及真實案例等內容。此外，本文也將提供實務建議，說明組織如何保護自身免受藉口詐騙攻擊。

藉口詐騙概述

藉口詐騙是一種社交工程技術，攻擊者會設計精心編造的虛假情境或藉口，藉此與目標互動並說服其洩露機密資訊。它依賴信任、權威與社會規範，在情境中偽裝成真實實體，例如銀行代表、IT 支援人員或政府官員，以達到利用對方的目的。

藉口詐騙與網路釣魚的比較

雖然藉口詐騙與網路釣魚都屬於社交工程的一種，目的都是詐騙使用者交出敏感資訊，但兩者在手法上有所不同。

一種網路釣魚詐騙主要是詐騙電子郵件或訊息，誘使使用者點擊惡意連結或下載惡意附件。它會偽裝成受信任的網站，例如銀行網站或線上服務，並將受害者引導至假網站，在那裡竊取個人資訊，例如登入憑證或財務資訊。與任何其他惡意活動一樣，網路釣魚也有許多其他形式，例如魚叉式網路釣魚，會鎖定特定個人或組織。還有語音網路釣魚（vishing），也就是語音釣魚，透過突如其來的來電要求提供資訊。

相較之下，藉口詐騙 涉及建立一個可信故事，以直接從受害者擷取資訊的行為。通常，攻擊者會對目標進行適當的事前準備，蒐集個人或專業細節等資訊，使其能夠設計出可信的故事。例如，攻擊者可能假裝成企業高階主管或 IT 支援人員，並透過與受害者交談來取得資訊，說服對方在看似正當的請求掩護下揭露敏感資訊。與仰賴大量數位手法的網路釣魚不同，藉口詐騙通常與直接溝通有關，因此可能更具個人性，且影響力也可能大得多。

藉口詐騙對組織層級的影響

一旦藉口詐騙成功執行，組織可能在多個層面遭受重大損害。由於員工紀錄或客戶資料中的敏感資訊可能遭到洩露，因此可能導致資料外洩。它也可能因竊盜或後續補救工作所產生的成本而造成損失。

此外，組織也可能遭受聲譽損害。當客戶不認為企業會妥善保護所蒐集的資訊時，該企業也可能面臨營收與市占率下滑。就法律層面而言，藉口詐騙攻擊相當危險。若這些敏感資訊，尤其是 PII，遭到曝光，組織可能因 GDPR 或 CCPA 的要求而面臨數百至數千美元的罰款與監管審查。

最後，藉口詐騙的影響不僅止於財務層面，還會長期影響組織的聲譽與穩定性。這意味著組織必須採取安全措施來防範這些風險，並保護所有敏感資訊。

藉口詐騙如何運作？

藉口詐騙要求攻擊者執行一連串刻意安排的行動，以贏得受害者的信任。取得個人資訊、編造可信的故事，以及透過面對面接觸直接向目標提出要求，都有助於降低防備心，並讓其要求看起來合理。以下是藉口詐騙實際運作方式的逐步解析：

• 資訊蒐集：攻擊者會研究受害者，蒐集姓名、職務與聯絡地址等個人資訊。他們利用 LinkedIn 等社群媒體平台及公開資料庫，建立受害者的完整檔案。正是憑藉這些資訊，他們才能編造出可與目標分享的可信故事。
• 編造藉口：接著，攻擊者會建立一個符合目標環境的可信情境。他們通常會冒充已知且受信任的關係人或權威人士。建立虛假身分，並採取恰當的語氣與肢體語言，會讓目標更難質疑其真實性。
• 接觸目標：攻擊者多半會透過電話或電子郵件直接與目標互動。一旦接觸到目標，攻擊者便會利用建立關係的方式推進對話，將內容連結到雙方的共同興趣，從而降低受害者的防備心。
• 索取敏感資訊：一旦建立起關係，攻擊者便會以維持故事情節所需資訊為掩護，尋求取得敏感資訊。在許多情況下，攻擊者會成功對受害者施加時間壓力，使其不假思索地照做，而未經審慎判斷。
• 利用取得的資訊：攻擊者取得資訊後，便可利用這些資訊從事惡意活動，例如身分竊盜與金融詐欺。因此，這些遭竊資訊還可能被用於後續攻擊，顯示藉口詐騙對個人與機構都構成重大威脅。

藉口詐騙的類型

藉口詐騙有多種形式，但都具有一個共同點：尋求建立信任並操縱敏感資訊。這些類型中有許多仰賴社會規範，或因權威人物與熟悉聯絡人而本來就存在的信任程度。

以下是組織與個人都需要警惕的兩種最常見藉口詐騙類型：

1. 冒充：冒充是一種攻擊手法，攻擊者在組織內假借受信任的身分。這類攻擊者會冒用 IT 人員甚至公司高階主管等身分。他們巧妙利用熟悉的身分，誘使他人交出個人資訊。例如，攻擊者可能致電員工，自稱來自 IT 部門，並以例行安全檢查為藉口要求提供敏感登入憑證。
2. Business Email Compromise (BEC)：網路攻擊者利用 BEC 透過寄送電子郵件給員工或主管，聲稱需要電匯或某些敏感資訊，藉此騙取存取權限。大多數時候，這些訊息會營造出緊急感，因此看起來像是必須立即採取行動。常見的例子是，攻擊者假冒 CEO，寄送電子郵件給財務部門，要求他們為「機密專案」匯款。在這種情況下，受害者未驗證請求的真實性便盲目採取行動。
3. 技術支援詐騙：在這種情況下，詐騙者會偽裝成技術支援人員，並自稱是大型組織的代理人。通常，詐騙者會打電話給你，或跳出訊息聲稱你的電腦有嚴重問題需要修復，或已遭感染必須由他移除。接著，詐騙者會要求提供個人資訊，或說服受害者在電腦中下載惡意內容，讓攻擊者得以完整存取儲存在電腦中的所有敏感資料。
4. 問卷詐騙：在這種情況下，詐騙者會進行假問卷調查，聲稱這是市場調查。他們會以獎品承諾引誘受害者，並要求提供姓名、地址，有時甚至是財務資訊。藉由利用受害者對這類看似無害活動的戒心不足，攻擊者便能竊取可用於身分竊盜或其他非法活動的敏感資訊。

藉口詐騙技術

藉口詐騙攻擊所使用的大量不同技術，都是運用心理學與社交工程原則，使其看起來合理且可信，彷彿出於正當目的。藉口詐騙攻擊中最常見的一些技術包括以下幾種：

• 建立關係：攻擊者通常會先以友善且對話式的語氣展開交流，以與目標建立關係。有時他們只是閒聊，或利用共同興趣作為與對方建立連結的理由，或提出開放式問題，讓自己看起來有些熟悉。之後建立起來的關係會降低目標的戒心，使其更容易配合提供敏感資訊。
• 急迫感與恐懼：某些藉口攻擊者會利用急迫感與害怕失去的心理來取得配合。攻擊者可能會將請求包裝成需要立即採取行動以避免安全性漏洞、服務中斷或其他問題的緊急事項。製造恐慌會迫使受害者倉促且草率地回應，進而提高配合的可能性。
• 權威：某些藉口攻擊仰賴建立或利用權威。這些攻擊採用假裝來自受信任組織或權威人物的策略。攻擊者利用受害者對權威極為自然的信任，藉由利用 IT 人員、公司高階主管或受信任供應商的角色來達成目的。因此，他們很容易操縱受害者洩露敏感資訊，因為如上所述，人們往往會因配合被認為具有權威的人物所提出的要求而感到榮幸。

如何識別與偵測藉口攻擊？

藉口攻擊很難識別，但這類攻擊會出現數個警訊，在許多情況下可事先提醒個人與組織注意潛在威脅。主要指標如下：

• 不尋常的敏感資訊請求：藉口攻擊的一個徵兆，是在未事先通知的情況下，主動要求提供敏感資訊，尤其是透過電話或電子郵件。當您接到這類要求提供敏感個人或機密資料的來電時，請記住，除非您能確定來電者的身分，否則極不可能應該分享這些資訊。
• 無明確理由的急迫性：這類攻擊中，攻擊者經常製造急迫感，迫使受害者迅速行動。如果您收到一項要求立即採取行動、卻沒有明顯或正當理由的請求，就應提高警覺。合法組織不會要求立即回應；因此，花一些時間評估情況至關重要。
• 來電者說詞中的不一致之處：請留意來電者提供資訊中的任何不一致之處。如果對方的說法看起來不對勁或前後矛盾，這可能表示其並非自稱的身分。請檢查其身分、來電目的，或其所代表組織相關細節中的差異。
• 不尋常的資訊請求：避免回應合法組織通常不會要求提供的資訊，例如密碼、Social Security numbers 或銀行帳戶資訊。成熟的組織對敏感資訊處理都有標準流程，通常不會在未經請求的通訊中要求提供此類資訊。對這類請求務必非常謹慎。在回應之前，請先透過官方管道查證。

如何保護您的組織免受藉口攻擊？

組織持續面臨藉口攻擊的威脅，若未嚴肅看待，可能導致嚴重的資料外洩與財務損失。此外，應採取預防措施來保護敏感資訊，並提升員工對社交工程相關風險的認知。以下是一些應採行的關鍵策略，以提升對藉口攻擊的防護能力：

1. 訓練與認知宣導：組織應優先推動定期訓練與認知宣導計畫，教育員工了解社交工程手法，包括藉口攻擊。透過讓員工了解攻擊者使用的各種藉口技巧，例如冒充與製造急迫感，員工便能更有效辨識可疑行為。訓練應強調在分享敏感資訊前驗證身分的重要性，培養謹慎與審慎的文化。
2. 驗證流程：應遵循合法的驗證程序，以確保請求敏感資料的人確實是其所聲稱的身分。組織應建立個人驗證的標準化程序，例如回撥流程，讓驗證請求的人員透過既有的通訊方式與提出請求的實體進行聯繫。因此，這可為系統增加安全性，並防止未經授權存取敏感資料，同時也可能避免落入藉口式攻擊。
3. 事件回應計畫：要在藉口攻擊事件中迅速掌控情況，少數有效方法之一就是制定並維護一套事件回應計畫。此計畫應包括：通報可疑事件的程序、評估此類攻擊造成損害的方法，以及損害控制措施。回應計畫可確保員工在疑似發生外洩時知道如何迅速行動，以將此類攻擊造成的影響降至最低。
4. 資料保護政策：應實施資料保護政策，以降低敏感資料外洩的可能性。這些政策必須明確說明可存取哪些類型的資料、哪些人可在何種條件下存取。資料存取權限可加以限制，使組織僅向因工作需要而必須存取的人員開放。因此，未經適當授權而洩露此類資訊的機會可降至最低。

真實世界的藉口攻擊案例

真實世界中的藉口攻擊案例顯示，攻擊者如何利用信任並操控受害者，以達成惡意目的。以下是一些值得注意的藉口攻擊案例：

• 「AIDS」木馬程式 (1989)：也被稱為勒索軟體的始祖，AIDS trojan 是網路犯罪中最早期的藉口詐騙案例之一。參加國際 AIDS 會議的電腦使用者會收到標示為「AIDS Information, 」的軟碟，其中包含一個木馬病毒。這個木馬在安裝到受害者的電腦後，會隱藏所有目錄，因此使使用者無法看見檔案。它會加密硬碟上的所有資訊，並使檔案可被存取。為了恢復存取權限，受害者被迫支付 189 美元的贖金。贖金必須透過一般郵件寄送到巴拿馬的一個郵寄地址。這是最早期的勒索軟體樣本之一，不僅展示了藉口詐騙的概念，也精確說明了攻擊者如何利用熱門議題欺騙受害者落入詐騙陷阱。
• 求職者網路釣魚與勒索 (2023)：這些詐騙者利用科技產業大規模裁員的趨勢，將毫無戒心的求職者當作獵物，偽裝成 LinkedIn 和其他平台上的招募人員。透過複製真實的職缺公告並建立求職入口網站，他們誘騙受害者交出敏感個人資料。大量受害者被引導填寫虛假的聘僱文件，並上傳身分證明與財務資訊等敏感文件，因而欺騙了許多人。這種藉口式詐騙鎖定正在尋找新工作的民眾，顯示出攻擊者在利用最新事件實施詐騙時是多麼投機。
• Deepfake CFO 冒充 (2024)：2024 年，據報導有一家領先企業遭受了一起複雜的 deepfake 攻擊，攻擊者冒充該公司的 CFO 及其他高階主管。這些攻擊者製作了極為逼真的 deepfake——與這些高階主管的外貌與聲音高度相似的合成媒體。這些假冒主管在視訊通話中要求一名員工匯出一筆鉅額資金，約為 2,500 萬美元，並將其描述為一項關鍵的商業交易。該員工相信自己面對的是真正的公司領導層，因此依照其指示完成了匯款。這起攻擊說明了 deepfake 正變得多麼危險，並展現了企業詐欺所帶來的威脅，即使是最有經驗的專業人士，也可能被對可信任人士的超逼真模擬所欺騙。

結論

目前，在網路安全領域中，最大的威脅之一就是藉口攻擊——透過操控與欺騙滲透個人與組織。唯有了解藉口攻擊的運作機制，企業才能做好防禦準備。

建立認知文化應成為必要措施，並且必須定期為員工舉辦有關網路犯罪手法的訓練課程。應讓員工學會在揭露此類機密資訊前先驗證對方身分。組織層級的驗證檢查流程，例如回撥程序與多重要素驗證，應嚴格實施，以確保只有經過驗證的請求才能取得敏感資訊。

適當的驗證檢查與認知提升可將藉口攻擊的影響降至最低。這類詐騙最可能造成的結果包括財務損失、聲譽受損及其他法律問題。因此，組織防護措施對於防止敏感資訊流入公開領域至關重要，從而維持組織的完整性及其在利害關係人面前的聲譽。