分析報告

Proofpoint 技術專欄

Proofpoint State of Phish 2024發現的四大趨勢

報告類型
趨勢分析
發布日期

2024/04/29

為了協助企業因應日漸複雜的釣魚攻擊,郵件安全領導品牌Proofpoint每年都會發表釣魚趨勢調查報告State of Phish,公布最新觀察到的釣魚威脅趨勢以及企業當前可能存在的弱點。我們也能透過這篇報告,審視目前企業防護能力,並進一步降低風險。

Image

受調查的使用者

做過有風險的行為

通常,突破企業安全防護最簡單的方式就是利用「人」,無論您採取多嚴密的防護,一旦「人」犯錯、受騙或是做了有風險的行為,像是重複使用或分享密碼、點擊不明連結或向不可信的來源提供憑證,就有可能成為防禦的破口。

的員工明知故犯,

進行了有風險的行為

根據Proofpoint調查,大部分企業都在為強化員工資安意識而努力,然而員工知道什麼該做跟實際行為是兩回事。儘管許多員工能分辨哪些行為會為公司帶來危險,但仍有96%有風險的行為起因是員工貪圖方便而明知故犯。培訓所面對的挑戰不只是要有效強化資安意識,還要能夠改善員工的行為。

受調查企業有教育員工

如何識別和預防TOAD攻擊

TOAD(Telephone-oriented attack delivery),又稱作電話傳遞攻擊,駭客會假扮客服等發送社交工程釣魚,並誘使受害者使用電話的方式與駭客聯繫,並藉此引導受害者下載惡意軟體、竊取憑證等。因為信件看似無害而難以防護,TOAD攻擊正不斷增加,Proofpoint平均每月會偵測到超過1000萬條TOAD訊息。

的安全人員仍認為

僅依賴MFA即可防範駭客竊取憑證

隨著越來越多企業開始落實MFA強化身分驗證,駭客也開發了許多竊取MFA Token來繞過多因素驗證的方式。而現今許多釣魚工具包也含蓋了這些功能,讓不少非專業駭客也能輕鬆濫用。其中最知名的莫過於EvilProxy框架,Proofpoint每月約偵測到100萬次使用該框架打造的釣魚威脅,僅依賴MFA保護帳戶安全並不能一勞永逸。

以「人」為本,建立防線

近年來釣魚攻擊手法層出不窮,隨著近期AI技術的發展,駭客能更容易製作不同語言的BEC攻擊。過去,語言障礙曾是亞洲地區鮮少BEC攻擊的原因,然而隨著駭客將人工智慧運用於製作釣魚信件,「語言」已不再是BEC攻擊的阻礙,Proofpoint觀察到日本、韓國等非英語系國家遭遇BEC攻擊的比例已成長30%以上。

駭客不需要努力尋找系統漏洞,只需在「人」身上找到弱點就能輕易打擊企業。因此,Proofpoint始終堅持以「人」為本,打造完整防線,從駭客嘗試與人員接觸的管道「電子郵件」到人員自身的資安意識,除了防範駭客威脅,更進一步培訓人員的資安意識、並讓員工付諸行動,與您一起捍衛企業的安全!

我想了解......

我想進一步了解該報告,或是想進一步了解產品,請業務提供相關資料或安排拜訪。

我想了解......

我想進一步了解大鈞專業服務,請業務提供相關資料或安排拜訪。

你可能有興趣...

關於大鈞科技

我們是深耕資安領域的專業人士,團隊成員組成兼具資安、系統顧問、軟體開發......等各方面人員,共同為企業資訊安全防護努力。

我們也幫助企業快速進行內部資安風險評估,幫助企業診斷何者評估安風險威脅最大,與資安威脅揭秘的優先順序,幫助企業快速建立完整的資安網路。