By Mike
五月雪的桐花季因國內各大集團遭駭客攻擊新聞充斥著媒體網路而相形失色，這些攻擊造成組織內部系統當機，進而影響企業的運作。上述事件發生後，台灣企業的資安在在亮起紅燈，眾家公司無不繃緊神經，深怕下個遭殃的對象就是自己。
中油於5月4日所遭受的攻擊為勒索病毒，是一種會將受感染主機內部檔案進行加密的惡意程式（勒索病毒的介紹可查看此則貼文），調查局表示，駭客入侵伺服器後潛伏許久，以找尋系統中的漏洞，直到取得特權帳號後便散播病毒至整個公司內部的主機。
而繼中油遭駭客攻擊後，台塑集團官方表示於同日上午有員工反應電腦出現異常，經由資安部門檢驗後發現裝置內存在一病毒。台塑集團便迅速下令各部門電腦系統進行全面性關機，以防止病毒災情擴散。
除了上述事件外，在5月初亦有一科技公司遭受惡意人士入侵勒索，在調查過後發現三起事件皆因駭客組織Winnti Group而起。接二連三發生的網路攻擊事件，讓人不禁思考，駭客究竟是透過何種手法成功入侵防範縝密的企業內部？
「資安最大的風險是人」、「『人』是資安問題的癥結點」，這些流傳於人們口中的老生常談並非沒有道理，因為在諸多嚴重的資安事件中，多數原因皆為「人」。即便再周全的資安規範或防護機制，都很有可能因人為疏失而全盤崩壞，這類利用人性進行攻擊的手法稱為「社交工程」。在面對此類攻擊手法時，若人員的資安意識不足，屆時千里之堤恐潰於蟻穴，引發莫大的問題而造成不堪設想的損失。
一般缺乏資安意識的民眾，容易掉進有心人士經由社交工程設計的陷阱，社交工程的手法千奇百怪，但不外乎是利用多數人的好奇心及貪婪，透過交談、欺騙、偽冒等方式，從合法使用者中取得機密資料，像是通訊錄或使用者密碼等。
社交工程手段常建立在引誘人類心理的渴望，使受害者上當進而做出特定行為以透漏機密資訊。在現實生活中，最普遍的社交工程手法就是層出不窮的詐騙電話，而在網路世界裡，社交詐騙手段更是五花八門，好比說像Line的釣魚連結、謊稱密碼已被重置的詐騙郵件、理財資訊或網銀登入通知等，惡意人士利用日常生活相關的標題作為誘餌，或是藉由備受矚目的重大事件發佈相關電子郵件新聞來誘騙受害者，使得上當的受害者點擊連結導向惡意網站並執行惡意程式碼，進而受到詐騙造成資訊外洩。
「郵件社交工程演練檢測」
為了檢測單位使用者對於電子社交工程及惡意郵件的防護與警覺能力，三甲科技提供郵件社交工程演練檢測服務，以簽訂保密協定方式，安全可受控的範疇下，由本團隊透過社交工程之施行，提升單位企業員工的資安意識及對於網路安全防護之警覺性。此服務依序進行以下步驟實施：
- 規劃服務期程
- 確認受測單位、人員
- 評估整體環境狀況
- 設計社交郵件內容
- 郵件社交工程施測
- 統計與分析施測結果
透過以上施測步驟，預期經由本團隊之演練提高單位同仁對於釣魚或其他網路詐騙手法的警覺心，降低經由社交途徑外洩資料的機會，造成公司損失。並可了解各單位是否已落實資訊安全教育之宣導工作，進而重點加強提升效益！
Reference
- 2020/05/15，陳于晴，鉅亨網“調查局：中油、台塑化遭海外駭客集團勒索攻擊 另有10家遭鎖定”，https://news.cnyes.com/news/id/4478375。
- 2020/05/15，楊舒晴、蔡芃敏，中央社“遭境外駭客攻擊 中油台塑化加強資安防護措施”，https://money.udn.com/money/story/5612/4566633。
- 2020/05/16，陳冠榮，科技新報”中油等 3 家國內企業遭駭，調查局鎖定駭客組織、警告恐有新一波攻擊”，https://technews.tw/2020/05/16/winnti-group-attacked-taiwan-companies/。
- 2020/05/15，公共電視”中油、台塑遇勒索軟體 研判海外組織所為”，https://times.hinet.net/news/22903409。
- 2020/05/15，楊佩琪，三立新聞網”中油駭客找到了 調局：近日恐再攻擊”，https://tw.news.yahoo.com/%E4%B8%AD%E6%B2%B9%E9%A7%AD%E5%AE%A2%E6%89%BE%E5%88%B0%E4%BA%86-%E8%AA%BF%E5%B1%80-%E8%BF%91%E6%97%A5%E6%81%90%E5%86%8D%E6%94%BB%E6%93%8A-075518583.html。