112年社交工程演練即將展開
-4月至11月
113年第一次社交工程演練,郵件開啟率為5%,附件點閱率為0%。
第一次演練的成果顯示,校內同仁對於社交工程的警覺性和通識訓練有達到理想狀態。因此,本社交工程專頁將持續針對社交工程議題,提供相關資訊予同仁們參考。由於社交工程的演練每年都會有兩次,而兩次之間的間隔很難區別,我們將不斷的利用此一專頁提醒大家,以期大家可以好還要更好持續保持不會誤啟測試郵件的狀況。
本校第一次演練有100人進行測試,其中點擊連結核開啟信件的開啟率為0.00%。本校第二次演練信件開啟率為1%;附件點閱率0%;郵件點閱率0%,開啟率低於10%、點閱率低於6%,符合教育部指標(開啟率低於10%、點閱率低於6%)。兩次演練都有達到教育部預設目標,針對開啟信件人員將會進行電話通知。
兩次演練的成果顯示,校內同仁對於社交工程的警覺性和通識訓練有達到理想狀態。因此,本社交工程專頁將持續針對社交工程議題,提供相關資訊予同仁們參考。由於社交工程的演練每年都會有兩次,而兩次之間的間隔很難區別,我們將不斷的利用此一專頁提醒大家,以期大家可以好還要更好持續保持不會誤啟測試郵件的狀況。
本校第一次演練有100人進行測試,其中點擊連結核開啟信件的開啟率為0.00%。本校第二次演練信件開啟率為3%、點閱率為0%,符合演練計畫目標(開啟率低於10%、點閱率低於6%)。兩次演練都有達到教育部預設目標。
兩次演練的成果顯示,校內同仁對於社交工程的警覺性和通識訓練有達到理想狀態。因此,本社交工程專頁將持續針對社交工程議題,提供相關資訊予同仁們參考。由於社交工程的演練每年都會有兩次,而兩次之間的間隔很難區別,我們將不斷的利用此一專頁提醒大家,以期大家可以好還要更好持續保持不會誤啟測試郵件的狀況。
本校第一次演練有0.76%開啟信件,其中還有0.73%點擊連結和開啟附件。本校第二次演練0人開啟信件(本次測驗共有100名受測者,發出1000封測試信件)。兩次演練都有達到教育部預設目標。
兩次演練的成果顯示,校內同仁對於社交工程的警覺性和通識訓練有達到理想狀態。因此,本社交工程專頁將持續針對社交工程議題,提供相關資訊予同仁們參考。由於社交工程的演練每年都會有兩次,而兩次之間的間隔很難區別,我們將不斷的利用此一專頁提醒大家,以期大家可以好還要更好持續保持不會誤啟測試郵件的狀況。
本校第一次演練有27.55%開啟信件,其中還有2.04%點擊連結和開啟附件。第二次的結果,很遺憾的,不但沒有減少,信件開啟甚至增加。統計人數有34人,點擊或開啟附件的人數有18人。兩次演練都沒有達到教育部預設目標。
這項演練的成果顯示,校內同仁對於社交工程的警覺性和通識訓練並未達到理想狀態。因此,本社交工程專頁將持續針對社交工程議題,提供相關資訊予同仁們參考。由於社交工程的演練每年都會有兩次,而兩次之間的間隔很難區別,我們將不斷的利用此一專頁提醒大家,以期可以改善大家不斷的誤啟測試郵件的狀況。
針對社交工程和資安的通識教育,我們每年都會至少舉辦一次教育訓練。今年的教育訓練將訂在4月28日,請大家積極參與 ,報名連結:http://nchu.cc/77hdt (上午場) ,http://nchu.cc/3g8Rx (下午場)。
教育部訂於4~11月實施社交工程演練
測試期間
2022年4月1日~2022年11月30日
測試目的
為提高教育機構教職員工警覺性以降低社交工程風險,本測試目的即是藉由模擬駭客寄送各種誘騙信件的手法,測試教職員點選各類誘騙信件的比率,以強化教育機構教職員對資安意識的落實與對社交工程等攻擊行為的資安警覺意識。
演練測試方式
針對每位受測人員寄發 10 封不同內容測試測試信件進行統計分析作業,統計受引誘而開啟信件或點選信件內之附件或網頁連結之數量及比率。
測試作業之測試信件寄件人名稱,均為偽造,用來測試受測人對寄件人名稱是否合理的辨識能力。
教育部歷年測試信件
教育部歷年測試信件的標題非常多樣化,包含健康類、科技類、美容類、財金類、新奇類、旅遊業等,各種標題都是為了吸引大家開啟信件上鉤,一定要特別特別注意喔!!!
社交工程原理
社交工程是一種利用人性的弱點進行詐騙,以達到個人目標的手段。最常利用的工具則是透過電子郵件的方式,誘騙使用者開啟信件或者點擊連結。駭客在這類型的信件中藏有惡意的軟體或連結,使用者如果點擊或開啟之後就讓駭客可以藉此達到操控的目的。
社交工程的手法日新月異,很難一言道盡。最簡單的應對方式就是:,
不認識的寄件者來函, 不要隨意開啟
與自己業務無關的信件, 不要開啟
寄件者雖然是認識的人, 但是寄件地址跟以往不同, 開啟前先確認
取消收信的媒體之郵件預覽功能
右圖所示, 即為駭客使用假冒的知名網站, 偷取你的帳號密碼。如果一時不察, 帳號就可能被盜用。
信件中的附檔如果有病毒,在不知情的情況點下去就會中木馬等病毒並有機會被駭客盜取個人資料及電腦內的相關訊息。
收信時必須要注意寄件者的信箱、寄件時間以及信件的主旨還有附加檔案等等...,發現這些疑點有可能是釣魚郵件就應避免開啟信件附件或點擊信件內的超連結。
特別關注案例
行政院資通安全處108年7月18日院臺護字第1080182934號,提醒有多起利用社交工程郵件夾帶微軟Office文件並開啟巨集功能下載惡意程式之攻擊手法,請預設關閉微軟Office文件巨集功能,避免遭有心人士利用進行攻擊。
Twitter 確認了他們前曾遭受「社交工程攻擊」,有相當多的名人認證帳戶被駭入 ,請參看報導: 比爾蓋茲帳號也被駭
澳洲政府遇網釣攻擊,18.6萬筆民眾資料外洩-起因於一名州服務處員工點選了網釣信件的惡意連結,造成該單位多名員工電子郵件信箱被入侵,因此信箱中存放的申請政府服務民眾個資,也一併外洩, 請參看報導: https://www.ithome.com.tw/news/139877
FBI與CISA警告:美國正出現大規模的語音網釣活動-駭客利用社交工程手法取得員工VPN憑證, 詳細報導請參看: https://www.ithome.com.tw/news/139578
免錢的最貴,詐騙出現口罩解禁新手法,小心個資外洩(轉載自聯合新聞網6/4): 詐騙集團也跟上防疫潮流,最新推出口罩解禁篇,謊稱在臉書留言可免獲贈一組10片口罩,警方提醒民眾「免錢的最貴!」 詳細報導請參看: https://times.hinet.net/topic/22925560
近期因為全球對於新冠病毒(COVID-19)發展的關注,於是出現不少新冠病毒相關主題的社交工程攻擊,請參考:防詐騙!指揮中心從未發「最終通知」獲不明郵件勿開啟、網路罪犯以新冠病毒為主題,對企業發動社交工程攻擊、 趨勢科技發布全球假冒新冠肺炎疫情之網路威脅情勢
最新時事,搶搭目前最熱門話題也有可能是社交工程的主旨,請參考:總統府釣魚信事件,情境換成假冒董事長、振興券,您的使用者能辨別嗎、居家辦公現資安破口 台銀洛城分行被騙1,350萬元
另外,Google雲端服務的普及率相當高,於是常見網路詐騙釣魚信件是假冒Google官方發出通知信件來騙取使用者的帳號密碼,一但真的進入了假冒的網站並輸入個人帳號密碼,帳號密碼就會被駭客竊取走,請參考:網路詐騙釣魚信件:「您的雲端硬碟有異動」,千萬別上當!
演練期間請關閉電子郵件服務的預覽功能
郵件軟體或平台的預覽功能若開啟,可能對於不明信件來不及刪除前就因為預覽信件而感染新型惡意程式。教育部發出的社交工程演練測試信件雖然不會有惡意程式,但設計對應機制可偵測信件是否被預覽開啟了,也就判斷該使用者可能較容易被攻擊成功,所以請大家再社交工程演練期間務必關閉信件預覽功能,相關設定請參考下列說明。