Barracuda《焦點報告》： 針對教育界的魚叉式網絡釣魚攻擊

Barracuda《焦點報告》： 針對教育界的魚叉式網絡釣魚攻擊

領導業界的雲端安全解決方案供應商 Barracuda 發表最新《焦點報告》，就針對教育界的魚叉式網絡釣魚攻擊發出警示。 

香港教育局就早前有9間學校成為網絡攻擊的目標，並洩露了學生和教職員工的個人資料，敦促學校提防網絡安全漏洞。香港生產力促進局亦啟動「香港教育部門網絡安全評分」（Cyber Security Score for Hong Kong Education Sector）計劃，以協助學校評估其應對風險的準備情況。 

由於很多學校和大專院校在疫情期間實施遙距教學，黑客洞悉到學生十分依賴電郵來接收老師、校長和院校主管的資訊，並加以利用當中的漏洞。Barracuda研究人員在2020年6月至9月期間，共檢測了逾350萬個魚叉式網絡釣魚攻擊，當中包括針對1,000多間教育機構如學校、大專院校和大學等。 

研究發現，以教育機構為目標的「商務電郵詐騙」（Business Email Compromise，BEC）是一般企業的兩倍以上， 而且有逾四分之一針對教育界的魚叉式網絡釣魚攻擊，是屬於精心設計的BEC攻擊。

以下是Barracuda就網絡罪犯針對學校的攻擊方式和趨勢發現，以及抵禦該類攻擊的解決方案。 

重點威脅 

針對學校的魚叉式網絡釣魚攻擊 ― 魚叉式網絡釣魚是以特定企業或個人為目標的個人化攻擊，網絡犯罪分子正不斷調整針對教育等不同行業的攻擊方式。 

研究發現整體網絡攻擊的次數於夏季較為平均，踏入9月後明顯上升。比較之下，於7、8月暑假期間，教育界的魚叉式網絡釣魚攻擊顯著減少，較平均值下降10至14%，但於9月開學後，攻擊次數就大幅增加。

於暑假期間，網絡犯罪分子對學校採取不同的攻擊方式，在7、8月主要利用電郵詐騙，因為針對性較低兼可大規模發送。 

開學後，「冒充服務」的網絡釣魚攻擊則變得較為普遍，該類攻擊在6月和9月佔所有學校的魚叉式網絡釣魚攻擊約五成（分別為47%和48%），而在7月份無需上課期間，該數字下降一半以上。研究人員又留意到，「商務電郵詐騙」亦有類似的趨勢，即在學期內次數有所增加。同期其他行業受到的網絡攻擊次數則相對穩定。

詳情 

根據分析，86%以教育界為目標的BEC攻擊，都是透過Gmail帳戶進行，與一般企業遇到的情況類同。網絡犯罪分子傾向利用Gmail這類容易註冊、免費，並且擁有較高知名度的電郵供應商，以發動針對性較強的BEC攻擊。 

網絡犯罪分子會利用具針對性及相關性的電郵主題，吸引受害者的注意和製造迫切感，以是次研究為例，當中有大量攻撃都是以COVID-19作為主題： 

• COVID19最新情況 
• Covid-19更新立即跟進 
• COVID-19學校會議 
• 有關：確保安全 

受感染的EDU帳戶被用作電郵攻擊的平台 

研究人員還分析了從可能受到感染的內部帳戶發出的惡意電郵。 

當檢視所有企業的惡意電郵（收到及發出）總數時，發現約有四分之一是從內部電郵帳戶發出的。 至於教育界的百分比明顯更高，達57%。由此可見，教育界的帳戶被盗用作發送惡意電郵比他們收到的更多。

由於從合法電郵地址發出的電郵具有很高的可信性，是進行電郵攻擊的最佳平台，因此這些受感染的帳戶對網絡犯罪分子而言極具利用價值，他們會在被揭發和被鎖定前，盡可能發送最多的惡意電郵，故研究亦發現這些機構會有一些大規模的發送活動。 

如何防禦這類攻擊

• 建立針對網絡釣魚攻擊的防禦設施。教育界遭到「冒充服務」和「商務電郵詐騙」等的社交工程攻擊，遠比一般機構為多，故學校、大專院校和大學應優先考慮使用人工智能來識別異常的發件人和查詢，以確保電郵的安全性，加設額外防禦可為員工和學生提供相應的保護。 

• 盡早設置帳戶接管保護措施。與普通企業相比，教育機構更容易遇到「帳戶接管」的事故，因此建議有關方面投資可識別異常活動和潛在帳戶接管的應對技術。

• 加強安全意識教育。用戶是最後一道防線，因此應向他們講解現時教育機構所面臨的電郵威脅， 以確保員工和學生能夠識別攻擊，並了解其欺詐性質和如何舉報。當遙距學習已成為教育體系中不可或缺的部分，學生和教師均依賴科技和電郵進行通訊及教育，安全意識培訓就顯得尤其重要。

   

• 訂立內部政策以防電匯欺詐。包括教育機構在內的所有企業，都應訂立及定期審視現行公司政策，以確保正確處理個人和財務資料。所有經電郵要求進行電匯和付款更改，都需要親自或以電話確認和／或多人批准，避免員工犯下代價高昂的過失。  

有關報告詳情，可於https://blog.barracuda.com/2020/10/29/threat-spotlight-spear-phishing-education/下載。 

關於 Barracuda 

Barracuda相信所有機構都能夠以最容易的方式購買、安裝和使用機構級的雲端安全解決方案。我們為客戶提供可以與他們的業務發展旅程一起成長的創新方案去保護電郵、網絡、數據和應用方案。Barracuda受到全球超過200,000間機構機構的信頼，在已知和未知風險的情況下受到保護，令他們可以專注令業務更上層樓。如欲得到更多資料，請瀏覽barracuda.com 

Barracuda Networks, Barracuda 以及Barracuda Networks 商標是美國和其他國家的商標或註册商標。