魚叉式網路釣魚與網路釣魚：關鍵差異說明

您的使用者憑證是資料的寶庫。任何威脅行為者都可能加以利用。Google 每天接收約 1 億封電子郵件，其中超過 48% 是垃圾郵件。這些電子郵件中有超過五分之一來自俄羅斯。千禧世代與 Z 世代網際網路使用者在 2024 年正面臨各種網路釣魚手法帶來的後果。大多數網路釣魚攻擊都是透過電子郵件進行，但有些則以惡意網站的形式出現。

每 100 位網際網路使用者每天就有 16.5 封電子郵件外洩，而且也有遭入侵資料庫在暗網上販售的案例。網路犯罪分子可以出售這些資料庫、在線上拍賣，或利用它們蒐集更多細節，以執行更複雜的網路釣魚手法。企業必須嚴肅看待網路安全，尤其是在金融、法律、電子商務及其他高度受監管的產業中。

截至 2024 年，最常見的網域名稱為 .com、.org、.top、.net 和 .eu。單一資料外洩事件可能讓組織損失超過 1,000 萬筆記錄，導致高達 488 萬美元甚至更多的財務損失！網路釣魚鎖定大眾，而魚叉式網路釣魚則會描繪受害者輪廓並選擇性地鎖定他們。

如果您沒有意識到這些威脅，就無法防禦它們。您需要了解它們如何運作。

在本指南中，我們將討論魚叉式網路釣魚與網路釣魚之間的差異，並重點說明其風險、預防策略、範例等內容。

什麼是網路釣魚？

網路釣魚 是一種經典、以電子郵件為基礎且本質上相當通用的攻擊。說明網路釣魚如何運作的最佳方式，就是把它想成寄給所有人的電子郵件。這封電子郵件不會鎖定特定個人；它是發送給組織中的所有成員。

例如，假設某家公司本週即將舉辦活動。您的所有隊友都期待收到公告電子郵件。您正在等待場地日期、時間及其他細節。攻擊者可能冒充公司，從假網域寄出假電子郵件來誤導所有人。他們可能會要求收件者點擊電子郵件中的連結以確認出席。沒有人會起疑。

典型的網路釣魚電子郵件可能包含惡意附件、假登入頁面、網頁表單及其他元素。有些電子郵件會營造急迫感並要求立即回應，而其他郵件則會促使用者迅速分享敏感資訊。

什麼是魚叉式網路釣魚？

魚叉式網路釣魚 非常具針對性，而且攻擊者會掌握許多關於您的細節。魚叉式網路釣魚不是發給組織的一般成員；攻擊者會對受害者進行數個月的側寫與研究。他們會精心製作高度個人化的電子郵件，並納入可交叉驗證郵件中所呈現事實的細節。因此，受害者會相信這些電子郵件來自真實來源，最終與其互動。

為什麼魚叉式網路釣魚如此可怕？它可能會利用人類的一般特質，例如樂於助人的意願；魚叉式網路釣魚電子郵件可能會以正面的語氣呈現，或鼓勵讀者採取某些對自己有利的行動。它也可能激起讀者的好奇心，進一步探索其他資源。這些攻擊手法相當狡猾，因為讀者會被引導穿過多層次的精心設計。魚叉式網路釣魚的主要目標，是在攻擊者讓受害者對其外部身分產生信任後，誘使受害者分享敏感資訊。因此，魚叉式網路釣魚並不是一般的電子郵件；你無法毫無預警地辨識出來。這些電子郵件製作得非常精良，而你往往會在毫無察覺的情況下中招。

魚叉式網路釣魚與網路釣魚相關風險

以下是網路釣魚與魚叉式網路釣魚相關的風險：

網路釣魚風險

組織在面對網路釣魚攻擊時，容易遭受以下風險：

• 詐騙者可以竊取信用卡資訊，並用於 POS 終端機結帳
• 您公司本身的真實電子郵件可能會送達攻擊者的收件匣
• 組織可能會讓自身名稱捲入金融詐欺事件
• 攻擊者可以劫持社會安全號碼，並用其開設詐騙帳戶。他們可能未經授權存取獨特的銀行、政府及醫療保健服務。
• 網路釣魚電子郵件可能將勒索軟體傳送給收件者。一旦他們開啟並安裝這些附件，就會成為勒索軟體攻擊的受害者。
• 發動網路釣魚活動的人員可能會植入間諜軟體或鍵盤側錄程式，以監控受害者在系統上的活動。他們可以隨時間竊取更多資料，並可能造成損害，進而毀壞公司的聲譽或客戶對公司的信任。

魚叉式網路釣魚風險

魚叉式網路釣魚攻擊經過精心設計、手法複雜，且比傳統網路釣魚攻擊多了一層細節。攻擊者會事先做好功課，並確切知道如何欺騙受害者。以下是其常見風險：

• 魚叉式網路釣魚電子郵件不只鎖定公司員工。它們也可能針對您的朋友、同事與工作夥伴。這些電子郵件看起來像是來自可信來源，因此受害者不會起疑。
• 魚叉式網路釣魚電子郵件可能會提供誘因，誘使您揭露敏感資料。它們會要求密碼、銀行帳戶詳細資料、信用卡號碼及其他財務資料。這些電子郵件也可能營造恐懼感。例如，典型的魚叉式網路釣魚電子郵件可能會說，除非您分享這些詳細資料並立即解鎖，否則您的帳戶將被鎖定。
• 如果企業對魚叉式網路釣魚攻擊不夠謹慎，就可能失去商業機密。它們也可能危及業務營運、經歷長時間停機，並面臨營運中斷。一次平均的魚叉式網路釣魚攻擊可能會鎖住關鍵資料、毀損檔案，甚至破壞硬體。
• 一旦您成為魚叉式網路釣魚攻擊的受害者，您的客戶與同事可能會質疑您的安全實務。這是因為這類攻擊並不常規，而是難以預測且高度個人化。它對企業聲譽造成的損害極大，並可能直接影響您的營收成長與未來商機。一旦客戶失去信任，往往需要數年甚至數十年才能重建。
• 魚叉式網路釣魚之所以可怕，是因為攻擊者會非常徹底地研究您。他們可能利用您的職稱、工作關係、嗜好及其他生活習慣資訊。受害者有時根本無法判斷寄件者其實是攻擊者。他們因此落入魚叉式網路釣魚手法，最終演變成全面性的財務竊盜或企業間諜活動。
• 魚叉式網路釣魚攻擊可能導致公司不符合法規要求，並面臨違規處罰。他們也可能因未妥善處理敏感消費者資料而面臨法律問題；若這些資料未受到充分保護，可能導致罰款與高額訴訟。

Enhance Your Threat Intelligence

See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.

Learn More

魚叉式網路釣魚與網路釣魚：範例

魚叉式網路釣魚通常會以 Business Email Compromise (BEC) 攻擊的形式出現。您最不會預料到它。攻擊者會假裝成已知供應商、個人或受信任的組織成員。網路釣魚則較為通用，並會發送給群組或大眾。請參考以下魚叉式網路釣魚與網路釣魚電子郵件範例：

網路釣魚手法 1：大量攻擊

您收到一封看似來自銀行的電子郵件，告知您的帳戶有問題，且您需要「驗證您的身分」。電子郵件中包含一個連結，指向看起來像是您銀行登入頁面的網站，但實際上那是專門用來竊取您登入憑證的假網站。

運作方式：

• 這封電子郵件會一次寄送給數千人。
• 您的訊息內容很通用，不包含任何個人細節。
• 攻擊者依賴大量發送，希望有人會上當。
• 不會使用任何關於您或您工作的特定知識——只是典型的詐騙。

魚叉式網路釣魚手法 1：鎖定高階主管的攻擊

您是一家知名網路安全公司的 CFO。攻擊者可以存取您公司的網站，並已查看過您的 LinkedIn 個人檔案。某天，您收到一封電子郵件，要求您審閱一份關鍵的網路安全報告。郵件中包含一個連結，一旦點擊，您的裝置就會感染惡意軟體。

運作方式：

• 攻擊者已研究過您和您的公司。
• 這封電子郵件高度個人化，提及您公司中的特定職務、姓名及細節。
• 這則訊息看起來很真實，因為它來自你的 CEO。
• 由於它看起來合法，你較不會質疑它，進而提高成功機率。

網路釣魚手法 2：假冒訂閱服務：

你收到一封電子郵件，聲稱來自知名的線上串流服務。郵件表示你的訂閱因付款問題而遭到暫停。系統指示你透過附上的連結更新帳單資訊，以恢復存取權限。

運作方式：

• 系統使用通用的電子郵件範本，將郵件寄送給廣泛的受眾。
• URL 看起來可疑，但包含像是「account」或「update」這類常見字詞。
• 這是一種快速、低投入的攻擊，寄望有人會不假思索地點擊。

魚叉式網路釣魚手法 2：供應商付款詐騙

這次魚叉式網路釣魚嘗試鎖定某公司的 CFO。攻擊者已取得與第三方供應商持續業務關係的資訊，而這些資訊可在網路上公開取得。一封冒充供應商財務部門的電子郵件要求將款項緊急電匯至新的帳號。

運作方式：

• 該電子郵件以供應商相關細節進行個人化，例如發票號碼與先前付款紀錄。攻擊者利用公開資料讓這項要求看起來合法。
• CFO 被誘騙授權付款，以為這只是例行作業；資金隨後被轉入攻擊者控制的帳戶，造成財務損失。

網路釣魚手法 3：  假工作機會

一封網路釣魚電子郵件出現在你的收件匣中，承諾提供絕佳的新工作機會。它要求你提供個人資料和履歷副本，以繼續申請流程。一旦提交，你的資料就會被用來存取其他帳戶或進行身分盜用。

運作方式：

• 電子郵件會寄送給大量人員。它透過假冒公司標誌或知名名稱來吸引求職者。
• 實際上並未對收件者進行任何研究。這只是一次大規模攻擊。

魚叉式網路釣魚手法 4：內部威脅模擬

攻擊者假裝成內部員工，並向某金融機構的 IT 管理員發送電子郵件。郵件提到緊急密碼重設，並要求存取公司的內部系統。由於它模仿標準內部流程，包含 IT 系統連結和員工資訊，因此看起來很合法。

運作方式：

• 它透過研究公司內部工作流程，明確鎖定 IT 管理員。
• 它使用公司內部語言精心撰寫，使其看起來像是來自可信任來源。

網路釣魚手法 4：免費軟體下載

你收到一封電子郵件，聲稱來自某軟體公司，提供你所使用熱門工具最新版本的「免費升級」。郵件中包含下載連結。當你點擊時，其中的惡意軟體會自動啟用。

運作方式：

• 這是一種簡單、自動化的攻擊，會同時發送給許多使用者。
• 這項優惠看起來好得令人難以拒絕，使人更可能點擊。
• 未使用任何個人化資訊。

魚叉式網路釣魚手法 4：雲端帳戶入侵

攻擊者向某公司的雲端管理員發送電子郵件，聲稱自己是雲端供應商的支援團隊。郵件提到公司最近面臨的雲端服務問題，並要求你立即驗證使用者憑證。身為雲端系統管理員，你很可能會點擊並與其互動。由於郵件中提到的問題正是你目前面臨的狀況，因此你不會質疑它。

你如何遭到入侵：

• 該電子郵件使用了關於雲端環境與供應商的精確細節。
• 憑證要求帶有急迫感；這會促使管理員毫不猶豫地迅速採取行動。
• 它會劫持並取得你公司關鍵雲端資源與敏感資料的存取權限。

網路釣魚與魚叉式網路釣魚：快速概覽

魚叉式網路釣魚與網路釣魚在接近受害者以竊取資訊的方式上有所不同。以下快速概覽其相似處與差異：

1. 目標受眾

網路釣魚電子郵件以整間公司為目標。它不夠細緻，也不具針對性。魚叉式網路釣魚則更為細緻，且需要對受害者有深入了解。在網路釣魚中，攻擊對象是所有人。然而，魚叉式網路釣魚僅限於特定個人。

2. 內容與投入程度

網路釣魚電子郵件幾乎不需投入太多心力，且可能包含文法錯誤。可能會有拼字錯誤和標點缺漏，你也會注意到資訊呈現不佳的明顯跡象。這些電子郵件很容易辨識。

但魚叉式網路釣魚不同。製作魚叉式網路釣魚電子郵件需要花費數週或數月對受害者進行側寫。泛泛的資訊並不足夠。這需要更多投入，因此也會經過充分研究。攻擊者在撰寫這些電子郵件之前，會非常了解其受害者。

3. 社交工程手法

攻擊者在魚叉式網路釣魚與網路釣魚攻擊中對你進行側寫的方式也會不同。對於網路釣魚電子郵件，他們會蒐集你公司的通用資訊。但在魚叉式網路釣魚中，他們會試圖了解關於你的一切。

網路釣魚標題通常也非常通用，例如：「你的帳戶已遭停用」、「我們即將終止你的服務」或「恭喜！點此領取你的獎品！」。他們希望灌輸恐懼、急迫感或貪念，並引發收件者的情緒反應或行動。在魚叉式網路釣魚中，攻擊者會試圖讓你卸下心防，讓你感到放鬆或有信心。他們會慢慢取得你的信任，並在分階段蒐集足夠資訊後，最終入侵你的系統。

魚叉式網路釣魚 vs 網路釣魚：關鍵差異

以下是網路釣魚與魚叉式網路釣魚之間的關鍵差異。

結論

對抗魚叉式網路釣魚與網路釣魚的最佳方式，是了解它們在細節層面的差異。不要對任何訊息掉以輕心；在點擊或與其互動之前，請仔細檢查內容。訓練您的員工和團隊成員提高對這些威脅的警覺。您可以定期執行網路釣魚與魚叉式網路釣魚測試來進行評估。