Spoofing 與 Phishing：了解關鍵差異

最近，俄羅斯和敘利亞的 GPS spoofing 案例數量持續增加。如果你還沒看到相關新聞，最新事件涉及攻擊者利用蜂巢式通訊網路，對高階軍事力量、現代經濟以及所有消費者造成重大損害。10 月的 Baltimore County Spoofing Scam 惡名昭彰；它冒充警察，從居民那裡騙取個人與財務詳細資訊。

醫療保健產業中的 phishing 攻擊暴增了 45%！AI 強化的 phishing 活動如今正鎖定各類組織，並提高其成功機率。由於技術進步，即使技術較不熟練的攻擊者也能發動這些攻擊。威脅態勢正在演變，而且情況變得令人極為擔憂。

本指南將涵蓋你需要了解的所有 spoofing 與 phishing 相關內容。我們將討論 phishing 和 spoofing 的風險。你也將了解如何預防它們，以及你可以採取哪些措施來維持防護。

什麼是 Spoofing？

Spoofing當攻擊者冒充您公司中的授權實體並試圖欺騙您時，就會發生這種情況。高明的 spoof 會利用您的情緒並在心理上操縱您。您不會察覺自己正被誘導採取特定行動。Spoofing 使用兩個要素：spoof 本身（假的網站、貼文或電子郵件）以及社交工程攻擊（攻擊者最終會將您重新導向至 spoof）。Spoofing 可以偽裝來自未知來源的通訊。它也可以模仿使用者熟知且受信任的網站，試圖說服他們透露其敏感資訊。

什麼是 Phishing？

Phishing涉及向組織、機構及企業大量發送電子郵件。其目標是鎖定群體中的人，而非個別個人。網路釣魚的目的是讓受害者立即採取行動。這些電子郵件中的標題可能會喚起同理心、憤怒、貪婪或急迫感。「好得令人難以置信」的優惠與樂透詐騙都可歸類為網路釣魚。網路釣魚電子郵件訊息可能包含指向惡意網站的連結，甚至夾帶含有病毒的附件。每當使用者與這些元素互動時，就可能洩露敏感資訊，或導致其系統遭到凍結。

Spoofing 和 Phishing 的危險與風險

根據 FBI，網路犯罪分子會試圖欺騙你，讓你相信 spoofing 是真實的。當你以為自己已經發現即將到來的威脅時，攻擊者會扭曲細節並加入額外資訊，使其更具說服力。Spoofing 和 phishing 是每一種重大 Business Email Compromise (BEC) 詐騙中的關鍵要素。有時，犯罪分子甚至可能先匯錢給你以取得信任，並套取細節，讓這些詐騙看起來過於真實。

以下是 spoofing 和 phishing 的風險：

• 偽造電子郵件可能導致大規模資料外洩。spoof 攻擊中涉及的惡意軟體可能竊取敏感資訊、造成系統故障，並記錄網路活動。phishing 電子郵件也可能導致金融詐欺。
• Spoofing 和 phishing 都可能使組織遭受相當大的生產力損失。企業需要提高工作流程與交付效率，才能恢復營運。他們會急於找出問題出在哪裡並鎖定根本原因。這些活動會耗費原本可用於經營業務、贏得客戶以及提供卓越績效的時間。
• 一旦網路犯罪分子竊取了你的身分，誰也無法預料他們會拿它做什麼。他們可以假冒你、欺騙並竊取客戶資產，並造成進一步的聲譽損害。其後果十分重大，有時你可能永遠無法從中恢復。雖然你可以彌補財務損失，但業務將再也回不到從前。你在市場中的地位也會受到損害。

Spoofing 與 Phishing：範例

Spoofing 和 phishing 可以透過多種方式發生。最經典的 spoofing 案例如下：

• 電子郵件 spoofing—spoofing 攻擊者可能會變更電子郵件地址，讓它看起來像是來自受信任的網域。例如，‘Google.com’ 可能會被改成 ‘Google.org’ 或 ‘Googl.com’。他們會使用假的電子郵件 ID 嘗試聯絡你。
• 來電顯示 spoofing—來電顯示 spoofing 稍微複雜一些。這是指有人從受信任的地區或號碼打電話給你。如果你會自動封鎖未知號碼，他們可能會使用你先前可能互動過的舊回收號碼（例如，任何已停用但重新分配給其他使用者的 SIM 卡號碼）。
• 網站 spoofing 是指有人建立假網站來蒐集詳細資料或資訊。例如，詐騙者可能會冒充銀行網站（建立一個重複的 PayPal 頁面），並加以偽裝，使其看起來像真的一樣。
• GPS spoofing – GPS spoofing 會向 GPS 系統傳送錯誤訊號，並試圖誤導它們。結果就是你會抵達錯誤的位置並陷入麻煩。
• ARP spoofing: ARP spoofing 會鎖定 IP 系統並向其傳送假訊息。你的本機網際網路網路會以為那是你，並意外將你的敏感資料傳送到錯誤的位置。你可以把這想像成郵差把你的包裹送到鄰居家或錯誤地址，而不是你的地址。

常見的 phishing 範例如下：

Spear phishing – Spear phishing 詐騙會加入預設情境，並以個人或組織中的特定成員為目標發送電子郵件。

Whaling – Whaling 會鎖定高階員工、CEO、CTO 以及擁有高度權限的人員。這些人之所以成為目標，是因為對攻擊者而言，潛在回報可能更高。

Vishing – Vishing 是透過語音而非即時訊息、電子郵件或簡訊來竊取敏感資料。攻擊者可能會假冒技術支援團隊成員，誘騙使用者在其系統上安裝惡意軟體，這是常見的 vishing 詐騙手法。

Smishing—Smishing 使用 SMS 發動 phishing 攻擊。這些攻擊會利用受害者較弱的理解與閱讀能力，並試圖讓他們點擊 SMS 連結。

Spoofing 和 Phishing：快速概覽

想快速了解 spoofing 和 phishing 嗎？以下概述它們的相似之處與差異。

1. 目標受眾

偽冒會鎖定特定個人，或組織內擁有較高權限的人員。其目標是取得他們的信任，並獲取公司內部資訊。這些資訊通常不會對外公開。偽冒電子郵件可能會嘗試與公司的 CEO、高階員工、供應商或業務合作夥伴互動。網路釣魚電子郵件的目標對象則是較廣泛的群體或整個組織。網路釣魚是一種以數量取勝的手法；其目標是接觸盡可能多的人，並寄望其中少數人會上當。它會鎖定任何被誘餌吸引的受害者。

2. 內容與投入程度

詐騙冒充與網路釣魚之間的一個關鍵差異在於內容。詐騙冒充的內容通常著重於模仿特定個人或組織，幾乎不需要額外細節。網路犯罪分子在網路釣魚攻擊中，經常建立假網站、表單或登入頁面，以竊取使用者名稱和密碼等敏感資訊。網路釣魚詐騙通常還會營造一種急迫感——例如「您的帳戶已遭入侵——請點擊這裡修復！」——以促使受害者在未經思考的情況下採取行動。

spoofing 與 phishing 攻擊所需投入的程度可能有所不同。對於 spoofing，攻擊者可以透過已知來源（例如商業夥伴或供應商）偽造一封簡單的電子郵件，並從那裡開始攻擊。然而，對於 phishing，他們必須投入心力與資金來建立網站、應用程式和正式通訊管道。大多數網路犯罪分子通常會先建立假網頁、表單和登入介面，然後再執行其 phishing 計畫。

3. 社交工程手法

社交工程 phishing 手法會利用恐懼、急迫感，甚至貪婪。另一方面，spoofing 通常依賴於營造熟悉感。透過冒充已知聯絡人，例如主管、供應商或同事，spoofing 攻擊會利用寄件者值得信任這一假設。phishing 依賴剝削或操縱，而 spoofing 則著重於建立信任與安心感。

Spoofing 與 Phishing：關鍵差異

以下是 spoofing 和 phishing 之間的關鍵差異

如何辨識偽冒與網路釣魚攻擊

以下是一些可協助您辨識偽冒攻擊的方法：

• 要求金錢、敏感資訊或不尋常行動的訊息通常是偽冒。大多數信譽良好的組織不會透過電子郵件提出此類要求。
• 留意文字中是否有不自然的句子。如果寫作風格突然改變、出現常見文法錯誤或措辭拙劣，您就能判斷出問題。
• 檢查寄件者電子郵件地址中的細微不一致之處。留意拼字錯誤、多餘字元或任何其他細微名稱變化，這些都可能表示該地址遭到偽冒。

以下是一些可協助您辨識網路釣魚攻擊的方法：

• 網路釣魚電子郵件通常會營造虛假的急迫感。它們可能聲稱您的帳戶已被鎖定，或需要您的詳細資料以避免發生問題。
• 將滑鼠游標移到電子郵件中的任何連結上，但不要點擊。如果 URL 看起來不像其聲稱來源公司的官方網站，很可能就是網路釣魚企圖。
• 如果您收到聲稱可獲得免費物品的優惠，很可能是網路釣魚電子郵件。如果您收到任何承諾讓您快速致富的訊息，請提高警覺。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

偽冒與網路釣魚防範提示

防止網路釣魚與偽冒攻擊需要主動式安全措施與警覺性。以下是一些偽冒與網路釣魚防範提示：

• 不要點擊來自未經請求電子郵件中的連結。為您的網域設定驗證通訊協定，例如（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）和 DMARC（Domain-based Message Authentication, Reporting, and Conformance）。這些機制可驗證合法電子郵件，並讓偽冒官方網域變得非常困難。
• 聘請安全主管監督您的安全自動化工作流程。即使是進階安全解決方案也難免會有一定程度的錯誤。需要人員洞察來調查此類情況並加以識別。
• 定期為員工提供資安意識訓練，以及對抗網路釣魚與偽冒事件的指導。教育他們不要點擊來自可疑來源的連結。讓員工了解與對手互動的風險、應對方式，以及網路釣魚與偽冒風險的重要性。
• 讓您的軟體保持最新狀態，並定期為系統修補漏洞。使用多重要素驗證（MFA）進行使用者驗證。
• 鼓勵員工匿名提交回饋與疑慮。針對及早偵測、防範與威脅補救提供激勵與獎勵。這將有助於培養資安意識文化，並提升貴公司消除偽冒與網路釣魚威脅的機會。

結論

偽冒與網路釣魚攻擊是網路犯罪分子使用的兩種不同攻擊方法。了解其運作方式對於對抗它們至關重要。

偽冒涉及冒充受信任的人員或實體，而網路釣魚則傾向於撒下更廣的網，並依賴操弄情緒觸發因素。兩者都基於社交工程手法運作，但在細節層次上有所不同。在網路釣魚中，重點在於為攻擊建立環境，而較少著重於個人互動。然而，在偽冒中，攻擊者更專注於人際互動與交流。若要防禦網路釣魚與偽冒攻擊，請立即開始使用 SentinelOne。