駭客利用GitHub官方的通知機制作為掩護，向開發者和IT人員發送看似真實的惡意內容。記者孫敬／編譯

近期，資安研究人員揭露了精密的新型網路釣魚活動，駭客利用GitHub官方的通知機制作為掩護，向開發者和IT人員發送看似真實的惡意內容。

受害者收到的郵件警告，不論是儲存庫更新、程式碼提交訊息，還是協作者變動通知，都與真實郵件非常相似。然而，仔細檢查郵件地址，就會發現寄件人地址已被竄改，內含的連結也經過多層混淆。

延伸閱讀：駭客利用合法Oracle資料庫功能 繞過資安防護植入勒索軟體

[caption id="attachment_193277" align="aligncenter" width="2400"] GitHub官方通知機制被駭客拿來利用。（圖／GitHub）[/caption]

從Webhook漏洞看惡意軟體如何植入

這波攻擊的精巧之處在於，它能成功規避許多企業的電子郵件安全閘道，這也導致多位開源專案維護者及技術人員的帳密遭到外洩。最初的警訊來自於多名專案維護者回報，他們在沒有任何操作的情況下，帳號卻被重置密碼，或是儲存庫出現未經授權的分支。

根據資安團隊H4x0r.DZ的報告，這起攻擊是由一種特殊的惡意軟體所為，該軟體能截取GitHub的Webhook通知，並在其中植入釣魚內容。有別於傳統釣魚信件，這類惡意郵件竟然能保有有效的DKIM和SPF紀錄，這是因為駭客巧妙地利用了第三方GitHub應用程式的配置漏洞。

從Webhook漏洞到資料竊取

當收件人點擊郵件中的惡意連結時，會被導向一系列的短網址跳轉，最終抵達一個偽造的帳號憑證收集頁面。

對這些釣魚郵件進行分析後發現，駭客利用惡意軟體在GitHub通知模板中植入客製化的HTML表單。這個表單的action屬性會指向駭客控制的伺服器，並透過JavaScript程式碼將使用者輸入的帳密資料，經由AJAX POST請求即時回傳給攻擊者。

這起攻擊的核心感染媒介，是那些被入侵且擁有過度寬鬆Webhook權限的GitHub應用程式。駭客會首先鎖定那些允許外部應用程式訂閱的熱門儲存庫，並以一個看似合理的名稱註冊惡意應用程式。一旦成功，他們便能獲得事件訂閱權限並取得Webhook密鑰。

駭客的伺服器會使用此密鑰來驗證傳入的JSON負載（Payloads），接著在「Pusher」欄位中插入惡意HTML內容，最後再將修改後的通知轉發給GitHub的電子郵件服務。

當駭客成功獲取帳密後，便能進一步存取私人儲存庫、提升權限，並部署其他惡意軟體。

為了防範這類攻擊，企業和開發者應著重監控異常的Webhook註冊行為，定期審查應用程式的權限範圍，並檢查外發的電子郵件內容中是否有任何嵌入式表單。

資料來源：Cyber Security News

這篇文章 全新釣魚郵件手法？駭客假冒GitHub官方通知竊取開發者帳密 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

2025年4月的一項調查發現，高達51%的垃圾郵件已是由AI工具生成。記者孫敬／編譯

根據資安公司Barracuda與哥倫比亞大學、芝加哥大學研究人員合作發布的最新報告指出，2025年4月的一項調查發現，高達51%的垃圾郵件已是由AI工具生成。這項數據顯示AI在網路犯罪中的應用已達到驚人的程度。

延伸閱讀：防不勝防！駭客操縱Google廣告 以假亂真官方聯絡資訊

[caption id="attachment_123434" align="aligncenter" width="1200"] 垃圾郵件、釣魚郵件都已經可以AI的影子。（圖／科技島圖庫）[/caption]

AI強化詐騙說服力，語言流暢、善於營造緊迫感

隨著AI在網路攻擊中的應用日益廣泛，這種趨勢可能導致網路安全局勢變得更難以控制，其特性又可分為以下4種：

• 減少語法和拼寫錯誤： AI能產出更為精確和流暢的文字，使詐騙郵件更難被察覺為異樣。
• 跨地域語言適應： AI可以更好地調整語言風格，讓郵件在不同文化背景下都能被理解。
• 精準掌控語氣： AI能調整內容語氣，以說服讀者回應或採取行動。
• 善於營造緊迫感： 研究發現，AI生成的郵件在製造「緊迫感」方面，與人工生成的攻擊郵件並無顯著差異。這項策略常被用於迫使收件人做出未經思考的反應，從而成為受害者。

報告中還提到，在被分析的商業電子郵件詐騙（Business Email Compromise, BEC）攻擊中，已有14%是由AI生成。哥倫比亞大學博士生Wei Hao指出，「在過去一年中，垃圾郵件是AI生成內容在攻擊中應用最頻繁的類型，遠超其他攻擊方式。」這意味著駭客主要利用AI來優化郵件內容，尤其是英文表達能力，而非改變攻擊策略本身。

資料來源：Forbes

這篇文章 AI助垃圾郵件更氾濫 高擬真語氣讓收件人難以辨認真假 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

編譯／鄭智懷 網路詐騙日益猖獗，手法也日新月異。YouTube於近日警告，詐騙者多次運用由官方E-Mail地址 …

編譯／鄭智懷

網路詐騙日益猖獗，手法也日新月異。YouTube於近日警告，詐騙者多次運用由官方E-Mail地址─no-reply@youtube.com發送釣魚信件，引誘受害者點擊其中的惡意連接，盜走YouTube等個人帳戶。

稍早發現並向YouTube通報本次網路釣魚手法的社群媒體創作者Kevin Breeze在Twitter上發文表示，這並非詐騙性電子郵件，而是對影片共享系統的濫用。換言之，詐騙者是利用YouTube的共享系統寄出這些惡意電子郵件。

據網路媒體《Hackread》報導，此次運用YouTube官方E-Mail地址寄出的釣魚郵件與傳統的手法類似，內含一段YouTube影片和告知用戶官方新政策的訊息。最關鍵的詐騙陷阱是在信件中附上的Google Drive連接，並說明用戶需要在七天內透過該連接回復相關問題，否則名下YouTube帳戶會被關閉。

假使用戶真的按照信件要求點開連接並輸入指定訊息，名下YouTube帳戶就會被詐騙犯劫持而無法登入。更麻煩的是許多YouTube通常是透過Gmail 帳戶登入YouTube帳戶，詐騙犯在劫持後者的同時，也會一併盜取前者的所有資料。

對此，資安公司EMEA 負責人Vonny Gamot表示，即使寄出電子郵件的地址看似合法，但是否為詐騙仍有跡可循，例如在本起騙局中的七天倒數就是經典的詐騙策略。犯罪者提供時限的目的就是為了進一步提高受害者的心理壓力，讓人們在尚未實施詳盡的檢查就付諸行動，因而上當。

Vonny Gamot指出，最直接的檢查方式是將滑鼠游標移動到連接上─但切勿點擊，檢視顯現的網站地址以「HTTPS」開頭，而非「HTTP」。其中的關鍵在於前者的「S」代表「安全」（security）的意思，意味著該網站使用安全協議傳送密碼、信用卡等敏感訊息。一般而言，這類網站在瀏覽器輸入網址的地方還會顯示一個上鎖的圖示。

除了上述的檢查方式外，資安專家建議網路用戶保護自己免受包含詐騙者在內的網路犯罪者侵害，最簡單且有效的方式還是安裝防毒軟體，或是使用多重因素驗證（2FA）。

資料來源：Hackread

這篇文章 駭客利用官方E-Mail騙個資　YouTube警告新騙局 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。

資安廠商Resecurity發現，駭客利用惡意程式LogoKit滲透知名線上服務網站的開放重導向漏洞，利用迴避 …

資安廠商Resecurity發現，駭客利用惡意程式LogoKit滲透知名線上服務網站的開放重導向漏洞，利用迴避安全軟體偵測的技巧，發送釣魚郵件，轉而侵入各種單位。而所謂LogoKit其實並非新惡意程式，至少早在2015年就已出現在地下網站，利用防護較弱的網站作為跳板發動釣魚攻擊，擴散力相當強。

在過去資安史上，LogoKit最為人所知是利用JavaScript動態產生釣魚網站內容，包括即時變換釣魚登陸頁的logo及文字，以更有效引誘使用者和惡意網站互動。攻擊者偏好使用一些疏於網站管理的小國家網域，再利用資安漏洞滲透。

例如像是赤道幾內亞（.gq）、馬利（.ml）、紐西蘭自治區托克勞（.tk）、加彭（ga）及中非共和國（.cf）等網域，或是駭入合法雲端服務，託管於這些網站上，作為各種惡意活動（如蒐集受害者資訊或重導向流量）的大多數狀況。

研究人員近期又偵測到LogoKit近日被大量散播，單單上個月利用LogoKit當作釣魚攻擊的合法網域至少有700個，而光是8月初第一周又增加300多個，包括Office 365、GoDaddy、維珍航空、應用程式開發平臺Firebase及多家金融機構等都是受害者，災情頗為嚴重。

其中包括發生在美國及拉丁美洲的攻擊中，LogoKit利用了Snapchat的開放重導向漏洞，攻擊者發送看似Office 365郵件的惡意信件，並在內文嵌入的連結有Snapchat及另一個Google URL，導向冒充微軟Office 365的釣魚網站，資安專家也提醒各家金融單位要多加注意。（記者／劉閔）

這篇文章 LogoKi病毒再度猖獗 金融機構資安要當心 最早出現於 科技島-掌握科技新聞、科技職場最新資訊。