原标题：资安周报第53期：超过8成钓鱼网站存活时间低于24小时
资安公司Webroot调查显示，2016年1月～9月期间，有84％的钓鱼网站存活时间短于24小时。
图片来源:资安公司Webroot提供
根据资安业者Webroot统计今年1月～9月网路钓鱼（Phishing）的资料显示，今年观察到网路钓鱼邮件所使用的恶意网址，几乎100％都是使用信誉良好的网域寄发信件；更特别的是，有84％网路钓鱼网站，存在时间都少于24小时。Webroot的调查资料显示，钓鱼网站存在时间过短，依照现有的网路安全技术，根本很难发现这些钓鱼网站的存在。
也因为现在骇客设计的网路钓鱼邮件仿真度几近百分之百，要分辨其中的差异，必须靠着不断的演练去提高每个使用者的资安意识，并且要搭配一套完善的作业流程，藉此降低网路钓鱼对使用者的危害。
网路钓鱼并不因为公司规模大小而有不同
网路钓鱼是社交工程手法的一部分，透过欺骗使用者相信，收到看到或听到的网路钓鱼信件或是钓鱼网站中所呈现的资讯，不论是希望使用者提供帐号、密码甚至是信用卡号码等资讯的要求，都是来自可以信任对象所发送的资讯。也因为这些资料都相当敏感，往往都会伴随着许多诈骗手法和诈骗事件发生。
目前许多网路钓鱼邮件的发送，其他都会利用合法网站寄送，可能是入侵合法网站后再寄送网路钓鱼信件，也可以能伪造一个相似度极高、难以一时之间立即分辨的钓鱼网站寄送网路钓鱼信件。
从Webroot的调查报告中也可以发现，更多的网路钓鱼其实是锁定个人比锁定企业还多，利用鱼叉式网路钓鱼信件的手法，许多骇客的目的是希望窃取某一些人工作帐号的登入密码或者是更重要的资讯内容，最终是希望可以藉此渗透到某个特定单位，以植入恶意程式并且得到有权存取特定敏感资讯的存取权限。各使用ㄓ
网路钓鱼并没有因为公司规模大或小而有所不同，关键在于是否可以透过入侵某个员工的帐号或电脑，进一步取的所需要的机敏资讯。不过，由于近期勒索软体横行，反而让许多公司的资安人员全心关注勒索软体带来的威胁，相对忽略网路钓鱼带来的致命危险。就目前所知，许多大规模的使用者资料外洩的起因，都是因为组织中的少数几个人，因为无法判断哪些是网路钓鱼信件，点选邮件中的恶意连结后，无意之间被植入恶意程式，慢慢透过组织内部的横向移动，达到窃取机敏资料的目的。
越来越多网路钓鱼网站存在时间短于24小时
Webroot的调查显示，过往单一的网路钓鱼事件，可以持续数周甚至到数个月之久，对于受害者而言，往往也有足够的时间去发现中间有哪些不对劲的地方。不过，该报告指出，现在的骇客有越来越多自动化的工具，可以快速伪造仿真度极高且高度客制化的钓鱼邮件时，钓鱼网站存活的时间已经越来越短。
从Webroot的在今年九月和十月的综合观察中发现，有84％的钓鱼网站存在的时间低于24小时，平均存活时间约为15小时，其中发现存活最长的钓鱼网站也不过44小时，最短的只有15分钟。
也因为这些恶意的钓鱼网站存活的时间越来越短，现有的网址过滤或者是扫描的手法，因为相对的信誉太低，以资安业者的立场而言，只能提出相对的警告，告诉使用者这些网址存取人数相对少，最终仍须仰赖使用者的资安意识，判断是否可以存取该连结。
但道高一尺、魔高一丈，若是使用信用评等较低的网域寄送钓鱼邮件，即有可能被资安业者拦截的情况下，观察可以继续存在的钓鱼网站发现，往往都是使用信誉评等良好的网域寄送钓鱼邮件，才不会让人起疑。最常见的手法则是，骇客入侵一个网站伺服器后，将其中单一网页的内容置换成，含有恶意连结在内的网页内容。因此，每一次在侦测邮件中的网址是否是恶意连结时，每一次存取都必须重新验证一次，才可能避免受害。
Webroot调查指出，今年每个月平均都侦测到40万个钓鱼网站，但要可以成功骗到使用者，就必须模仿使用者最熟悉也最常使用的网站。从该份调查中发现，今年，有21％的钓鱼网站是模仿Google网站，19％模仿雅虎网站，15％模仿Apple网站，13％模仿payPal网站及富国银行（Wells Fargo）网站，模仿其他网站的比例则有20％。
但若比较2015年和2016年模仿的网站比例来看，Google网站跌幅最多，因为在2015年模仿Google网站的比例达30％，但到2016年下滑9％，只剩下21％；PayPal模仿网站的比例，两年是呈现持平状态；但是模仿Yahoo和Apple网站比例，在2016年成长率几乎是去年的两倍，前者从10％成长到19％，后者从8％成长到15％。
不定期进行社交工程演练并提供因应SOP，才是降低钓鱼邮件危害最佳方法
钓鱼网站因为存活的时间越来越短，许多资安业者判断挑战也越来越高，除了资安业者逐步提高针对这些具有恶意连结和恶意程式的钓鱼邮件，提高应该有的防护水準之外，人的资安意识才是最终的防线，只要有任何的不对劲之处，「如何在不疑处有疑」，找出收到网路钓鱼邮件的异常之处，更是需要依赖长期不断的资安教育训练和提醒。
日常的社交工程与网路钓鱼邮件的演练，已经成为多数企业用户应对网路钓鱼邮件的最后利器，但是，为了要让这样的攻防演练是真的有效而不是做做样子而已，首先，什幺时候作演练的时间应该是保密的，一整年中的任何一天、任何时候，都可以是演练的时机，这才具有真实性。否则，事先告知哪一段时间会进行演练，所有使用者只会在当时提高警觉，过了演练的时间就开始放鬆警戒，反而更容易中标。也因此，行政院以往在每年10月和11月都会进行社交工程演练，从明年后，将改成不定期进行社交工程演练，不会事先告知什幺时候是演练时间，希望藉此提高公务人员对于社交工程邮件的警觉心。
台湾星展银行资讯暨营运处资深副总裁王圣棨也表示，该公司每年至少都会有两次以上的社交工程演练，没有人知道何时进行演练，也是希望全员都可以时时提供警觉。
不过，除了提高警觉性外，「不教而杀谓之虐」，公司或者是组织等，也必须事先告知使用者，如果遇到可疑的社交工程邮件时，应该要如何因应的标準作业程序（SOP），才会是真正有用的方式。
王圣棨也分享星展银行的针对这些可疑社交工程网路钓鱼邮件的标準作法，他说，一旦使用者无法判断该封邮件是否是恶意邮件时，星展银行都会事先告知所有员工，一旦收到任何可疑信件，都可以转寄给特定的帐号。
这个帐号由资安团队负责维运，当资安团队收到可疑信件后，该团队会先进行初步判断，并利用各种工具进行侦测、扫描，也会在安全的沙箱环境中，执行可疑的附加档案，以确认是否为恶意程式等等。
等到确认结果出来后，星展银行资安团队则会立即回信告知使用者，该封邮件是否是恶意的网路钓鱼邮件，如果是，团队会告知使用者应该要立即删除并且不能对外转发，如果不是，使用者便可以安心读取信件内容。
?
资安公司Webroot调查显示，2016年有超过2成的钓鱼网站是以模仿Google网站为主。
?
?
相关：
图片来源: Yahoo Yahoo被骇连连，周三坦承，在2014年被骇导致5亿用户帐号外流之外，2013年也曾经被骇，而且外流帐号这次超过10亿笔。?Yahoo资讯安全长Bob Lord指出， 11月接获警方提供一批号称是该公司的用户档案，经
兆丰银行虽然遭美重罚1.8亿美元，但因绩效是8大公股银行中最好的，估计年终奖金仍可望上看5个月。 公股银行的年终奖金向来备受各界瞩目，国民党立委卢秀燕14日特别质询各公股银行的年终奖金，且据她的了解，兆丰银虽
▲香川照之演活《半泽直树》中的反派“大和田”。日本男星香川照之数年前演出high剧《半泽直树》中的反派“大和田”，精湛演技超到位，让不少剧迷印象深刻。据悉香川照之是超级工作狂，长达6年时间完全没有假期，婚姻
经济部“自愿性绿色电价制度试办计划”年底即将到期。能源局长林全能今天说，明年将持续推动绿电认购方案，认购户数目标盼逾万户，绿电附加费拟维持现行每度1.06元。“自愿性绿色电价制度试办计划”于民国103年7月起
根据今天公布的报告，南极东部巨大冰层可能比长期以来假设的还容易受全球暖化影响。这份报告显示强风能侵蚀支撑冰层的冰棚。法新社报道，南极地区结冰的水若是融化，足以使得海平面升高好几十米，改变世界版图。但要