Akamai研究指網絡釣魚及憑證填充攻擊仍是金融機構與客戶最大威脅

香港2019年8月2日 /美通社/ -- 據新發表的 Akamai 2019 年《互聯網 /安全現狀金融服務攻擊經濟》報告資料指出，受觀察到的網絡釣魚網域所影響之個別企業組織當中，有 50% 屬於金融服務行業。資料亦顯示，除了獨特的網絡釣魚手法之外，攻擊者還利用憑證填充攻擊手法，在18個月期間內嘗試高達35億次，對於金融服務客戶的個人資料和銀行資訊造成風險。 

報告指出在2018年12月2日至2019年5月4日之間，共發現將近200,000個 (具體數據為197,524個) 網絡釣魚網域，其中有 66% 更直接鎖定了消費者。將僅鎖定消費者的網絡釣魚網域列入考量後，其中有50%的目標為金融服務產業的公司。 

Akamai 資安研究人員暨《互聯網 /安全現狀》報告編輯 Martin McKeay 表示：「過去一年來憑證填充攻擊持續上升，一部分就是源自於針對消費者之網絡釣魚攻擊的增長。犯罪者會透過網絡釣魚來補充竊得的現有憑證資料，然後利用盜用帳戶或轉售他們所建立的清單作為賺取金錢的一種方式。我們看到一整個以攻擊金融服務機構及其消費者為目標的經濟體系正在發展起來。」

犯罪者作案成功後，必須再處理自己違法取得的資料和資金。如 Akamai 報告所指，其中一種處理手法即稱為「人頭包」：一整組可在特定金融機構冒用身分開立帳戶的資料。人頭包內含個人遭竊的身分資料，在網路犯罪者之間俗稱「fullz」(全餐)，其中包括姓名、住址、出生日期、身分證詳細資料、駕照資訊和信用評分。犯罪者透過遠端桌面伺服器安全存取冒用帳戶，並選用符合銀行及「全餐」地理位置的遠端伺服器。

金融機構持續調查犯罪者如何開立這些人頭帳戶，努力保持領先一步。然而，大多數企業卻未察覺，其實犯罪者已開始重用舊有的攻擊手法。

Akamai 的調查結果顯示，其觀察到的金融服務業攻擊當中有 94% 採用以下四種方法之一：SQL 注入式攻擊 (SQLi)、本機檔案入侵 (LFI)、跨網站指令碼 (XSS) 和 OGNL Java 注入式攻擊 (在本報告期間即超過 800 萬次嘗試)。OGNL Java 注入式攻擊因 Apache Struts 漏洞而聞名，在修補程式發表後多年仍遭攻擊者持續利用。 

在金融服務行業，犯罪者也開始發動 DDoS 攻擊，藉此掩飾憑證填充攻擊或用以突破網頁型漏洞。在18個月的期間內，Akamai 即發現超過 800 次針對金融服務產業的 DDoS 攻擊。

McKeay 表示：「攻擊者鎖定金融服務機構的弱點：消費者本身、網絡應用程式和可用性，因為這種手法是有效的。企業越來越能夠成功偵測及防禦這些攻擊，但是單點的防衛方法注定會失敗。防禦機制必須能夠偵測、分析並抵禦會利用多種不同工具的智慧型犯罪者，企業才能妥善保護客戶。二十多年來，Akamai 持續運用其獨特的能見度解析全種類的攻擊手法，協助企業保護客戶免受各種快速演進的惡意活動所害。」 

犯罪經濟能夠發達的一部分原因，就在於他們以金融服務行業為目標。舉例來說，犯罪者以銀行為目標，試圖竊取敏感資料，然後回過頭來使用相同的資料開設人頭帳戶並取得信貸額度。
這是一種持續不斷的犯罪循環。諷刺的是，犯罪者攻擊的行業正是其生存所需的行業。雖然金融機構越來越能夠成功偵測此類攻擊，但攻擊者卻持續用舊手法獲得成功，這是不容小覷的問題。 

Akamai 2019年《互聯網 /安全現狀》報告可於此處下載。如需更多資訊，並與 Akamai 的威脅研究人員交流學習，瞭解 Akamai Intelligent Edge Platform 對於不斷演進的威脅環境所提供的見解，歡迎造訪 Akamai 資安威脅研究中心。

關於 Akamai

Akamai 為全球最大型企業遞送安全的數碼體驗。Akamai Intelligent Edge Platform 涵蓋範圍橫跨企業到雲端，讓客戶及其公司能夠享有高速、智能與安全的體驗。全球頂尖品牌均仰賴 Akamai 提供靈活解決方案擴充多雲端架構，幫助品牌獲得具競爭力的優勢。Akamai 領先業界，讓決策、應用程式和體驗更貼近使用者需求，並保護他們免受攻擊和威脅。Akamai 的產品組合包括邊緣安全防護、網站與行動效能、企業存取及視訊遞送解決方案，全都享有無與倫比的客戶服務、分析服務以及24小時全年無休的監控支援。想瞭解為何世界頂尖品牌均信賴 Akamai，歡迎瀏覽 www.akamai.com 或 blogs.akamai.com。

圖標 - https://photos.prnasia.com/prnh/20190320/2408932-1LOGO?lang=2