1. 報導摘要

近期，資安研究人員揭露了一種名為「Zipline」的網路釣魚攻擊手法。這種攻擊模式的獨特之處在於，它並非直接鎖定受害者的銀行帳戶或敏感資料，而是以受害者的電子郵件帳戶作為初步入侵點，透過竊取電子郵件憑證，進而繞過多因素驗證（MFA）並發動更複雜的商業電子郵件詐騙（BEC）攻擊。Zipline的成功率相當高，對企業的電子郵件安全構成嚴峻挑戰。

2. Zipline攻擊模式分析

Zipline攻擊的精髓在於其兩階段的策略，以及對現有資安防護措施的巧妙規避。

第一階段：電子郵件憑證竊取

• 誘餌設計： 攻擊者精心製作高度擬真的網路釣魚電子郵件。這些郵件通常偽裝成來自合法且常見的服務通知，例如包裹遞送更新、帳戶安全警示、共享文件通知，甚至是內部通訊或主管指示。目的是引誘受害者點擊惡意連結。
• 惡意登入頁面： 一旦受害者點擊連結，便會被導向一個偽造的登入頁面。這個頁面在外觀上與Google Workspace或Microsoft 365等主流電子郵件服務提供商的登入介面幾乎一模一樣，讓受害者難以辨識真偽。
• 憑證輸入： 受害者在毫無察覺的情況下，將自己的電子郵件地址和密碼輸入到這個假頁面中。此時，憑證即被攻擊者竊取。
• 繞過MFA： 這是Zipline攻擊最危險的部分。許多企業和個人已啟用多因素驗證來加強安全性。然而，Zipline攻擊者會利用竊取的憑證，在極短的時間內嘗試登入受害者的真實帳戶。由於時間差非常短，當受害者收到MFA驗證提示時（例如推播通知或簡訊驗證碼），他們可能會誤以為這是自己剛剛嘗試登入所觸發的正常驗證，進而批准登入或輸入驗證碼。一旦MFA被繞過，攻擊者便成功獲取了電子郵件帳戶的完整存取權。

第二階段：商業電子郵件詐騙（BEC）

• 潛伏與監控： 成功入侵受害者的電子郵件帳戶後，攻擊者並不會立即發動攻擊。他們會花費數天甚至數週的時間，潛伏在收件匣中，靜默地監控受害者的郵件往來、通訊模式、商業夥伴資訊以及財務相關的對話。
• 建立信任與情境： 透過監控，攻擊者能夠建立起對受害者工作流程、專有名詞和人物關係的深入理解。這使得他們能夠編織出更具說服力的詐騙情境。
• 偽造支付請求： 當攻擊者掌握足夠資訊後，便會冒充受害者或其信任的內部人員（例如主管、財務部門），向其商業夥伴或內部員工發送虛假的支付請求、供應商變更通知、銀行帳戶資訊更新等郵件。
• 社交工程技巧： 這些詐騙郵件往往包含緊急訊息或看似合理的理由，要求收件人盡快完成匯款，以增加其可信度和緊迫感。例如，「供應商帳戶更新，請立即匯款至新帳戶」或「緊急專案資金需求」。
• 目標鎖定： 攻擊的最終目標是誘導收件人將資金匯入攻擊者控制的帳戶，或竊取更多敏感資料。

3. Zipline攻擊的危害

Zipline攻擊的危害是多方面的，不僅限於直接的財務損失：

• 財務損失： 這是最直接且明顯的後果，企業可能因虛假匯款指令而損失巨額資金。
• 資料外洩： 攻擊者可存取電子郵件中的敏感資料，如客戶資訊、商業機密、合約、員工個資等，導致資料外洩。
• 商譽損害： BEC攻擊的成功會嚴重損害受害企業的商譽和客戶信任，修復這些關係需要大量時間和資源。
• 供應鏈風險： 若企業的電子郵件被入侵，攻擊者可能利用其身分向其供應商或客戶發動進一步的攻擊，造成供應鏈的連鎖反應。
• 營運中斷： 調查和補救這些攻擊會耗費大量內部資源，可能導致正常的業務營運中斷。

4. 防範Zipline攻擊的建議

面對Zipline這類高階的網路釣魚和BEC攻擊，企業和個人必須採取多層次的防護策略：

• 強化員工資安意識培訓：
  • 定期模擬釣魚測試： 定期對員工進行網路釣魚模擬測試，幫助他們識別惡意郵件的特徵。
  • 強調「停止、思考、驗證」： 教導員工在點擊任何連結、回覆敏感郵件或執行支付指令前，務必停下來思考郵件的真實性，並透過獨立管道（例如撥打已知號碼、面對面確認）進行驗證。
  • 識別常見詐騙手法： 教育員工辨識常見的誘餌，例如聲稱來自IT部門的「帳戶升級」、包裹遞送通知或共享文件連結。
• 實施強大的技術防護措施：
  • 啟用並強化MFA： 確保所有重要的帳戶（特別是電子郵件和財務系統）都啟用多因素驗證。同時，應教育員工警惕MFA提示的時機，若未主動登入卻收到MFA請求，應立即拒絕並回報。
  • 電子郵件安全閘道（Email Security Gateway）： 部署先進的電子郵件安全解決方案，具備沙箱分析、URL重寫、惡意附件掃描等功能，有效攔截惡意郵件。
  • DMARC/SPF/DKIM設定： 確保企業的DMARC、SPF和DKIM記錄配置正確，以防止郵件欺騙和偽造。
  • 入侵偵測與回應（IDR）系統： 部署IDR系統來監控異常的登入行為、電子郵件轉發規則變更或不尋常的郵件發送模式，以便及早發現入侵。
  • 最小權限原則： 限制員工的帳戶權限，確保他們只能存取執行工作所需的最低限度資源。
• 建立明確的支付與變更流程：
  • 雙重驗證支付請求： 針對任何變更供應商銀行資訊或要求大額支付的郵件，必須建立嚴格的雙重驗證流程，例如要求發送者透過電話或其他獨立管道進行語音確認。
  • 統一支付平台： 盡量透過受信任且安全的支付平台進行交易，減少直接電子郵件指令支付的機會。
• 定期備份與復原計畫：
  • 資料備份： 定期備份重要的電子郵件和文件資料，以應對可能的資料刪除或加密攻擊。
  • 事件回應計畫： 制定詳細的資安事件回應計畫，明確各部門在遭受攻擊時的職責和應對步驟。

Zipline攻擊再次證明了駭客技術的不斷演進，企業必須保持警惕，投資於全面性的資安解決方案和員工培訓，以應對日益複雜的網路威脅。

資料來源：https://www.darkreading.com/cyberattacks-data-breaches/zipline-phishers-victims-email-first