駭客利用生成式AI大量偽造政府身分證件的「深偽（Deepfake）」圖片。記者孫敬／編譯

2025年7月中旬，一場結合新舊技術的網路攻擊行動悄然上演。駭客利用生成式AI大量偽造政府身分證件的「深偽（Deepfake）」圖片，並將其嵌入一場針對性極高的「魚叉式網路釣魚」（Spear phishing）攻擊中，成功繞過了傳統的防毒軟體防護。

延伸閱讀：修補一個BUG卻意外挖出新漏洞？Windows 11最新版爆核心位址洩漏危機

[caption id="attachment_93109" align="aligncenter" width="1200"] 駭客用生偽和釣魚手法結合發動惡意攻擊。（圖／科技島資料照）[/caption]

AI偽造證件成新釣魚誘餌

這波攻擊偽裝成政府軍事與安全機構，電子郵件中不僅文案逼真，甚至還附上了利用ChatGPT製作的視覺資產，引誘收件者點擊下載。駭客聲稱這些圖片是「身分證草稿」需要收件者檢閱，一旦點擊，就會下載惡意壓縮檔，並執行隱藏的惡意腳本。

這起事件突顯了駭客戰術的重大演變，他們將先進的AI技術與傳統的規避手法結合，對敏感網路造成極大威脅。資安分析師將此歸因於惡名昭彰的Kimsuky駭客集團，該集團利用AutoIt和PowerShell等工具，從南韓的C2伺服器分階段傳遞惡意酬載。

駭客巧妙結合字元分割與排程任務，隱藏攻擊軌跡

當受害者打開惡意壓縮檔後，會看到一個偽裝成文件的捷徑檔案，當它被開啟時會透過 cmd.exe 執行一系列批次指令，這些指令事先被存放在環境變數中，並利用「環境變數切割」（environment-variable slicing）技術重組。資安公司 Genians 的分析師發現，駭客利用 %ab901ab[:]~7,1% 這樣的表達式，一次提取一個字元，以動態重組最終的 PowerShell 指令。這種技術不僅能欺騙仰賴特徵碼的防毒引擎，也能透過延遲可見的惡意行為，規避啟發式偵測。

當指令重組並執行後，惡意程式會立即從伺服器下載兩個酬載，一個是由ChatGPT生成的深偽PNG圖片，另一個則是批次腳本。這張圖片的元資料經專門偵測工具分析後，確認其為AI生成，深偽機率高達98%。

為了確保惡意程式能持續運作，駭客還利用排程任務手法，受害者的電腦會新增一個偽裝成合法軟體更新的排程任務，名為「HncAutoUpdateTaskMachine」，並以每七分鐘一次的頻率執行惡意腳本，確保酬載能持續運行。此外，AutoIt編譯的腳本還使用了類似維吉尼亞密碼（Vigenère cipher）的加密手法，進一步阻礙靜態分析。

這起攻擊行動是駭客創新能力的最新例證，他們將生成式AI與傳統的惡意軟體傳輸管道無縫整合，對現有的防禦系統帶來嚴峻挑戰。企業與個人必須升級其資安防禦，除了傳統防毒軟體，更應部署具備行為分析與端點偵測與回應（EDR） 功能的解決方案，以即時監控可疑的腳本活動和排程任務創建。

資料來源：Cyber Security News

這篇文章 AI深偽再進化 新型網路釣魚利用假證件成功繞過傳統防毒軟體 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

昔日大家熟悉的網路釣魚，現今已不再透過相似的字詞或偽造電子郵件地址來詐騙，駭客使用更精巧的「閃躲式」手法，巧妙規避偵測工具，甚至有警覺性的使用者也難以辨識。記者孫敬／編譯

昔日大家熟悉的網路釣魚，現今已不再透過相似的字詞或偽造電子郵件地址來詐騙，駭客使用更精巧的「閃躲式」手法，巧妙規避偵測工具，甚至有警覺性的使用者也難以辨識。根據外媒報導，最新資安研究發現，有三大新興的網路釣魚手法出現。

延伸閱讀：微軟Office爆CVSS平均8.4分資安漏洞 跨平台版本皆有重大風險

[caption id="attachment_177016" align="aligncenter" width="2816"] 網路釣魚不限於早期的相似詞或電子郵件。（圖／AI生成）[/caption]

駭客三大「閃躲式」新招：精準鎖定、隱蔽誘騙難以察覺

1. 隱藏惡意連結於QR Code： 駭客不再直接寄送釣魚連結，而是將其埋入QR Code圖像，偽裝成登入提示、付款通知或包裹遞送等無害內容。
   • 為何危險：許多電子郵件過濾機制無法「辨識」QR Code的圖像連結，使其得以規避偵測。手機使用者在掃描QR Code時，通常不會顯示完整網址，常常就直接點擊。一旦進入釣魚網站，其高度擬真的介面可能讓受害者輸入憑證、信用卡號甚至雙重認證碼，導致企業帳戶、支付系統或個人資料被竊。
   • 應對方式：幸運的是，像雲端沙盒測試環境的網站Any.run，能夠自動解碼QR Code並取得連結，在短時間找出完整的攻擊鏈。 
2. 地理定位與重新導向： 部分網路釣魚並非立即暴露惡意內容。駭客會先依據受害者的地理位置、瀏覽器設定、系統細節等資訊進行「指紋辨識」（Fingerprinting）。如果訪客符合攻擊者的目標條件，才會被導向至釣魚網站；若不符合，則會被導向至如Tesla官網等合法網站。 
   • 為何危險： 這種技術讓攻擊更具隱蔽性和高針對性，標準掃描工具因不符合條件，可能無法觸發惡意程式，從而錯失偵測機會。
   • 應對方式： 互動式沙盒允許分析師快速更改虛擬機器的IP及網路設定，模擬目標地理位置，以觸發並分析威脅，揭露標準工具難以察覺的釣魚企圖。 
3. CAPTCHA表單延遲偵測： 現在的網路釣魚比以往更有互動性，部分甚至利用CAPTCHA驗證碼作為刻意的規避步驟。這些驗證碼意在阻擋自動化機器人、漏洞掃描器和資安工具觸及真正的惡意內容。 
   • 為何危險：透過在攻擊鏈前端設置CAPTCHA，威脅行為者可以延遲甚至完全阻止偵測，因為大多數自動化工具無法自動解決驗證碼，導致它們無法看到後續的惡意頁面。
   • 應對方式： 具備自動互動功能的沙盒工具，能像真實用戶一樣解決CAPTCHA，從而揭露攻擊的下一階段，完整記錄並分析被掩蓋的惡意行為。

資料來源：Cyber Security News

這篇文章 網路釣魚手法再進化！駭客QR Code、定位、CAPTCHA三大陷阱手法曝光 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 資安大廠卡巴斯基（Kaspersky）於本周稍早發布的最新報告指出，Telegram已經成為暗網 …

編譯／鄭智懷

資安大廠卡巴斯基（Kaspersky）於本周稍早發布的最新報告指出，Telegram已經成為暗網的主要替代選項之一，特別是在2021年以降，網路犯罪者大量利用該通訊軟體為買家提供各式網路釣魚工具與服務。

報告執筆人Olga Svistunova指出，網路釣魚銷售商在Telegram上設立官方群組，用於宣傳、推廣商品與服務，甚至還不定時推出具娛樂性的調查文，吸引更多網路用戶加入網路釣魚大軍行列。

Olga Svistunova發現，銷售商還針對不同的客戶群推出免費與付費的服務內容。前者主要是鎖定有意加入的潛在客戶，或剛開始執行網路釣魚的初學者。服務項目包含自動產出專屬機器人、頁面、令牌、基礎工具包及受害者個資。後者則是為熟練網路釣魚的資深詐騙者提供更完整的服務項目。

Olga Svistunova研判，銷售商之所以提供上述免費商品與服務—即使技術低下且獲得的訊息有限，旨在誘使新手嘗到首次騙局的甜頭之後，掏錢購買付費內容以獲得更多的資源，以及招募無償勞動力打廣告，開發大量客戶。

至於在付費服務方面，銷售商不僅承諾提供功能更強大工具，譬如具備反檢測、反機器人、URL 加密等；甚至還供應客製化服務，供買家自行設定所需要的功能。

調查指出，根據功能不同，付費服務要價自每項10美元（折合新台幣約300元）至50美元（折合新台幣約1500元）不等。另外還針對部分罕見的客戶需求，例如專門設計假網站的軟體包，開出300美元（折合新台幣約9,000元）的高價。

除了一次性的工具包與個資，，銷售商同時也出售一系列的訂閱服務，支援客戶定期更新網路釣魚工具，或是提供一次性密碼（OTP）機器人，破解現在流行的雙重因素驗證（2FA）。

資料來源：Kaspersky

這篇文章 卡巴斯基：Telegram成銷售網路釣魚工具首選 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 自OpenAI於2022 年 11 月 30 日發行ChatGPT以來，各路研究發現人類與該技術 …

編譯／鄭智懷

自OpenAI於2022 年 11 月 30 日發行ChatGPT以來，各路研究發現人類與該技術的競賽一敗塗地。然而，一份於芬蘭當地時間15日發布的報告顯示，在引誘受害者點擊惡意惡意連結的實驗中，人類工程師撰寫的網路釣魚電子郵件成功率勝過ChatGPT的44.8%。

本起實驗由芬蘭資安業者HoxHunt發起，總共對全球100多個國家／地區網路用路寄出53,127 封電子郵件。研究結果發現，由ChatGPT編寫的網路釣魚電子郵件引誘受害者上當的點擊率為2.9%；人類工程師的版本之點擊率則為4.2%。

HoxHunt聯合創辦人兼技術長Pyry Avist在研究報告中提到，在人類工程師與ChatGPT的網路釣魚模擬攻擊中，受害者的反應具有顯著的地區差異：瑞典人受人類工程師欺騙的比例比其他國家更高；美國人則比較容易上ChatGPT的當。

值得一提的是，本實驗是在ChatGPT-4發布前完成。鑒於開發商宣稱該新版本的ChatGPT具有多方改善，相同的比賽是否能出現不同的結果也說不定。事實上，Pyry Avist也指出，大型語言模型未來可能會在引誘人們點擊特定物件的能力上迅速發展和改善。

Pyry Avist接著補充，在人工智慧加強網路釣魚工具能力的趨勢下，世人應重視人為控制的風險問題。他說：「人們花在（資安）訓練上的時間越多，受人類或人工智慧（資安）攻擊的可能性就越低」，實際上也不需要安排特別的緒練因應ChatGPT遭濫用的資安威脅。

美國資安業者Tanium的安全研究主管 Melissa Bischoping則主張企業應該讓員工接受網路釣魚威脅的新知與培訓，以及加強相關防護技術。

資料來源：Infosecurity Magazine

這篇文章 終於贏ChatGPT！人類工程師網路釣魚效率大勝四成 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 資安業者Loookout在最新發布的《全球手機網路釣魚狀態報告》（The Global Stat …

編譯／鄭智懷

資安業者Loookout在最新發布的《全球手機網路釣魚狀態報告》（The Global State of Mobile Phishing Report）中表示，2022年為歷年來手機網路釣魚發生次數最高的一年；統計資料顯示，在過去一年之間，全球每季都有一半的手機用戶遇上該攻擊手法。

在攻擊次數上，針對私人手機的網路釣魚攻擊自2020年第二季開始，每一季的攻擊次數都不斷增加；而針對企業手機的網路釣魚攻擊則遲至2021年才開始出現成長趨勢，且幅度略低，僅有10%。

在攻擊目標上，保險、銀行、法律、醫療保健和金融服務是最常遭受手機攻擊的產業。

於此同時，報告也指出，手機網路釣魚的攻擊策略更隱蔽和更複雜。

統計顯示，在企業環境中的手機用戶每年點擊六個以上的惡意連結的次數由2022年的1.6%上升至2022年的11.8%。這代表著攻擊活動更加不明顯，使用戶對於如何分辨收到的訊息究竟是網路釣魚，還是合法、無害者，出現障礙。

另一方面，手機網路釣魚的攻擊策略也越來越複雜。除了傳統的電子郵件以外，藉由語音信箱、簡訊與二維條碼等方式的攻擊活動在2022年第二季急速成長，漲幅超過七成。

此外，值得注意的是，由於網路犯罪即服務（CaaS）市場蓬勃發展，犯罪分子可以更快獲得廉價且多樣的手機網路釣魚工具包，因此成為該類型攻擊活動的一大助力。

報告最後主張，手機網路釣魚對大型企業造成嚴重損失。根據統計，對擁有5,000名員工以上的企業而言，該類型攻擊活動每年造成的潛在財務損失可能高達400萬美元。

資料來源：Infosecurity Magazine

這篇文章 2022年手機網路釣魚趨勢：攻擊更多、更隱蔽和更複雜 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

記者／Shirley 據統計偵測Web3風險的人工智慧區塊鏈分析技術公司Chainsight表示，去年全球虛擬 …

記者／Shirley

據統計偵測Web3風險的人工智慧區塊鏈分析技術公司Chainsight表示，去年全球虛擬貨幣財損破千億美元、總和為過去3年17倍，而根據Chainsight虛擬貨幣詐騙與資安漏洞案件統計，虛擬貨幣十大詐騙中，「網路釣魚」類型詐騙高達近8成，以假網域最常見。Gogolook（走著瞧）透過投資新創Chainsight佈局區塊鏈防詐領域，旗下可疑訊息查證機器人美玉姨也新增Chainsight虛擬貨幣錢包地址風險偵測功能。

區塊鏈產業發展，帶動全球虛擬貨幣市值2021年飆升至2.7兆美金的新高點。據Chainsight統計，近年虛擬貨幣產業的重大風險與詐騙事件也在產業市值不斷墊高下，讓去（111）年的總財損攀升至千億美元，相當於過去3年加總的17倍。

除了穩定幣結構性設計以及公司治理漏洞所造成的損失外，檯面下的虛擬貨幣詐騙與資安漏洞也不斷發生在詐騙網站與各類通訊、社群軟體中。根據Chainsight虛擬貨幣詐騙與資安漏洞案件統計，「網路釣魚」類型詐騙高達近8成，最常見手法之一即為「假網域」詐騙，尤其虛擬貨幣網站域名特殊，容易受到域名排序置換、後綴不同等詐騙網站混淆；從而在詐騙網站下載假冒的加密貨幣錢包與交易所App，或是透過詐騙網站取得錢包權限，即使是資深用戶也難以第一時間判斷真假。

「假冒身份」類型以近17%位居第二，詐騙集團在email、網站、社群與通訊軟體等場域中，假冒交易所或項目方官方人員要求提供個人敏感資訊，例如錢包助記詞、API密鑰、私鑰、重置密碼驗證碼等，容易使個人資產遭到盜領。觀察其他風險類型，可以發現虛擬貨幣所衍生的詐騙與風險相較傳統投資更為多元而繁雜，例如勒索、智能合約漏洞、NFT空投等。儘管發生案件佔總體案件比例較小，但皆能對投資者造成重大經濟損失。

Chainsight表示，公司區塊鏈資料庫涵蓋十年的犯罪交易數據，透過AI技術建立虛擬資產交易風險預測與辨識服務，可以涵蓋偵測範圍涵蓋10條公鏈，超過30萬個幣種以及NFT。Gogolook旗下可疑訊息查證機器人美玉姨也新增Chainsight虛擬貨幣錢包地址風險偵測功能。

Chainsight提醒用戶需要採取預防措施保護個人數位資產，可免費下載由Chainsight支援的Chrome擴充功能「Web3Check」，即時偵測交易網站、加密貨幣錢包地址等風險。未來Chainsight也將新增交易所流通性警示，若交易所的金流有異常，Chrome擴充功能Web3Check也會第一時間通知用戶，即時保護用戶數位資產。

這篇文章 虛擬貨幣十大詐騙　網路釣魚佔近8成 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

也可以被稱為「釣魚法」或「網路釣魚」。

也可以被稱為「釣魚法」或「網路釣魚」，在資安中指利用電子郵件、即時通訊或社交、其他網路傳輸手段，偽裝成與官方網站極其相似的盜版網站，騙取個人資訊的攻擊手法。

參考來源：ChatGPT

這篇文章 網路釣魚（Phishing） 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

反網路釣魚業者Cofense的首席顧問Ronnie Tokazowski表示，詐騙者一般透過約會軟體或線上聊天 …

編譯／鄭智懷

資安專家警告，網路愛情詐騙猖獗，雖然策略不變，但是加密貨幣損失已經成為新趨勢。根據美國公部門統計，相關詐騙案例紀錄不斷創新高，損失金額也持續增加。

反網路釣魚業者Cofense的首席顧問Ronnie Tokazowski表示，詐騙者一般透過約會軟體或線上聊天，利用「愛情炸彈」使受害者昏頭，直至騙取到財物。不過，Ronnie Tokazowsk也補充，網路愛情詐騙的出現並不代表線上約會應該被禁止，而是意味著人們應該謹慎行事，做好保護自己的相關措施。

根據美國聯邦調查局（FBI）的網絡犯罪投訴中心（IC3）統計，超過1.9萬美國人在2022年因網路愛情詐騙而損失財物，總金額達7.39 億美元。

而美國聯邦貿易委員會（FTC）的數據顯示，相較於其他類型的詐騙活動，愛情詐騙造成的損失更大，且每年都創下歷史新高。據該單位統計，2022年因愛情詐騙而損失的總金額為5.47 億美元，是2017年的六倍之多；自2017年至2022年之間，詐騙者以愛情詐騙的手法騙取約13億美元。

美國聯邦貿易委員會的數據指出，除了最常見的要求支付禮品卡─四分之一的受害者表示曾利用此方式付款，近來指定以加密貨幣支付款項也成為詐騙者愛用的模式。

事實上，網路愛情詐騙已經成為全球性的嚴重犯罪問題。譬如英國在2022年因相關詐騙活動所損失的金額約1億美元。

專家指出，詐騙者在發現受害者已經動了感情後，就會以出現緊急醫療事故、臨時無法付房租等理由，開始要求協助並支付錢財以渡過難關。

專家表示，透過網路尋求真愛並非壞事，但是人們必須保護自己的人身與財物安全。儘管利用網路搜尋約會對象的資料，例如圖片、真實姓名、電子信箱等方式並非百分百管用─詐騙者會採取一切想得到的方式包裝自己，但仍然是用來辨識對方是否不懷好意的最簡單方法。一旦約會對象拒絕在現實中面對面見面，或是索要金錢，請馬上離開對方，因為這很有可能就是愛情詐騙。

資料來源：Cybernews

這篇文章 你戀愛了嗎？網路騙子要加密貨幣而不是你的心 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 隨著網路科技不斷深入各大生活領域，相關安全事件也層出不窮，並且成為各界焦點；然而，這些可能導致重 …

編譯／鄭智懷

隨著網路科技不斷深入各大生活領域，相關安全事件也層出不窮，並且成為各界焦點；然而，這些可能導致重大安全問題且影響深遠的案例，卻未必會廣為世人所知。資安專家指出，在過去一年中，攸關勒索病毒即服務（RaaS）、輻射警報、以及結合網路釣魚的勒索攻擊領域的嚴重威脅遭到忽視，亟需各方改變思維，並投入資源因應。

專家表示，針對某家不具名美國零售商發起的兩次勒索攻擊案例，顯現勒索病毒即服務的嚴重威脅。在行動中，攻擊者對受害者發起第一次破壞與勒索後，隨即將相關訊息賣給下一個攻擊者，使後者能進行重複且類似的攻擊。

在輻射警報的攻擊案例中，駭客並未直接攻擊警報系統，而是透過參與營運的第三方工作人員滲透，進而刪除部分關鍵軟體與設施。事實上，如同該案例，許多關鍵基礎設施的保護措施專注於特定節點的防護，並非從整體思考安全漏洞，或是其他相關問題。

而在結合網路釣魚的勒索攻擊方面，駭客的攻擊三步驟─滲透（Infiltration）、網路活動（Network activity）與滲出（Exfiltration）出現橫向變化，以及利用額外技術使防護方的單點保護措施無法阻擋進攻。

資安公司Cato Networks的安全團隊提到，上述三種不同類型，但是同樣嚴重的攻擊顯示，網路攻擊是複雜且多變的行動組成。換言之，過去仰賴防禦單一節點的思維與保護措施已經無法因應時代需求。

該團隊主張，為了減少攻擊威脅，防護方應注重可操作資訊、可靠資訊以及即時資訊，分別達到減輕攻擊損傷、減少錯誤通報，以及緩解傷害，進而達到保護整體資訊系統的目標。

資料來源：The Hacker News

這篇文章 <a>2022</a>年最嚴重卻被各界忽視的三大網路安全漏洞 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 加拿大通訊公司黑莓（BlackBerry）最新的一項針對美國、英國與澳洲資訊產業的研究指出，超過 …

編譯／鄭智懷

加拿大通訊公司黑莓（BlackBerry）最新的一項針對美國、英國與澳洲資訊產業的研究指出，超過半數的公司領導人認為，ChatGPT最快在一年內將完成一場成功的網路攻擊，而包含該軟體在內的人工智慧（AI）技術的潛在資安威脅也驅使產業界規劃在未來兩年內開始投資於反制技術與解決方案。

在涵蓋美、英、澳三國，約1,500名資訊公司領導人的調查中，所有受訪者皆贊成ChatGPT通常用於動機良好的活動；但是74%的受訪者認為其存在潛在的網路安全威脅。其中有71%的受訪者相信，已經有部分國家開始使用該技術對其他國家展開攻擊。

在應用層次上，53%的受訪者認為駭客利用ChatGPT製作出更有說服力和法律可信度的網路釣魚電子郵件是全球最應該關心的問題；有49%的受訪者則贊同該軟體能有效幫助經驗不足的新手駭客提高網路攻擊知識和技術能力，或是利用其散播不實訊息。

資安公司Recorded Future的情報分析師 Allan Liska指出，ChatGPT確實可用於網路攻擊，協助駭客寫出更好的網路釣魚電子郵件，以及策畫更具創意的網路釣魚方案。而在惡意軟體的編寫上，則表現欠佳。

黑莓公司的資安長Shishir Singh則樂觀表示，儘管駭客可以透過ChatGPT等人工智慧（AI）技術獲得大量助益，但是資安技術的開發者與研究者從該軟體取得的幫助更多。Shishir Singh提到，隨著人工智慧技術的成熟與駭客運用其技術的經驗增加，防護方也需要利用人工智慧，平衡來自攻擊方的競爭壓力。

事實上，研究報告指出，受訪者普遍認為ChatGPT有助於加強企業的資訊安全防護工作。其中有82%的受訪者計劃在未來兩年內投資於以人工智慧為基礎的網路安全項目，甚至有48%的受訪者計劃在 2023 年底之前就開始類似領域的投資。

值得一提的是，絕大多數（95%）的受訪者認為政府有責任監管先進技術。

資料來源：BlackBerry、Infosecurity

這篇文章 ChatGPT恐為下一個網路攻擊核心 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。