TAG

#網絡釣魚

8 篇文章

TechLab 所有關於「網絡釣魚」嘅文章、評測同教學，由最新排起。

電腦突然加密、公司電郵俾人接管，或者同事誤信假供應商轉咗帳，頭一小時點處理會直接影響損失有幾大。參考台灣新指引，再用 HKCERT、警方同私隱專員公署資料校正，整理六類常見事故嘅即時止血次序。

IBM 最新研究話，四分一惡意資料外洩有 AI 輔助，平均成本達 600 萬美元。不過數字來自全球 602 間曾經出事嘅機構，亦證明唔到 AI 已經可以自行完成攻擊。公司更實際要處理嘅，係釣魚提速、假冒高層、影子 AI 同權限失控。

攻擊者入侵酒店或會議場地嘅 Wi‑Fi gateway，再操控 DNS，將住客帶去假 Microsoft 365 登入頁。一般改用公共 DNS 未必擋到，網址檢查、手機數據、全通道 VPN、passkey 同限制 Device Code Flow 先幫到手。

Check Point 發現 ChatGPT 首次打入品牌冒充網絡釣魚榜前十，案例用 Plus 付款失敗做餌，引人交出卡號、到期日、CVV 同姓名。排名只反映單一保安公司嘅全球樣本，暫時冇香港個案數字，亦冇跡象顯示 OpenAI 平台遭入侵。

開咗 MFA 唔代表帳戶一定安全。攻擊者而家會用假登入頁截取 session token、狂推登入通知，甚至借真正 Microsoft 裝置授權頁叫用戶親手批出存取權。公司要轉用 passkey／FIDO2，亦要收緊 MFA 登記同登入政策。

SourTrade 用假 TradingView、Solana 同 Luno 網站，引導 Windows 用戶下載由瀏覽器即場組裝嘅惡意檔案。呢招令單靠 hash 嘅掃描較難截到，不過研究冇顯示開網頁就會自動感染，用戶仍然要下載再執行個檔案。

ClickLock 用假驗證頁氹 Mac 用戶自行執行惡意指令，再扮 macOS 密碼框、密集關閉常用程式，逼人交出登入密碼。今次拆解佢點避過傳統防護、中招時有咩徵兆，同點樣用較穩陣方法清理及保住網上帳戶。

新一輪 macOS ClickFix 攻擊扮成清理工具、GitHub 頁面同 IT 支援網站，叫人複製指令落 Terminal。惡意 AppleScript 會偷瀏覽器資料、密碼同 Keychain，再冒認 Apple 系統服務長駐。呢篇拆解點辨認同中招後點處理。