變臉詐騙案件致全球31億美元損失

除了近年成為熱話的進階持續性滲透攻擊（APT）和勒索軟件外，變臉詐騙案件或稱為商務電子郵件入侵（Business Email Compromise，BEC）也一直威脅著不少企業用戶。根據FBI最新發佈的報告指出，自2015年1月以來，企業機構通報的變臉詐騙損失金額成長13倍，造成全球近31億美元的損失，其中資料顯示多數欺詐性轉帳皆流向位於中國與香港等亞洲銀行。

主要目標為財務總監

趨勢科技資深技術顧問簡勝財指出：「根據趨勢科技進一步針對變臉詐騙的全球監控資料研究分析顯示，最常遭詐騙份子假冒的職務是行政總監（CEO），其次為企業總裁和總經理。詐騙份子會入侵企業高層主管電子郵件帳號，並假冒該主管的名義在公司內部發送電子郵件，要求員工將款項匯至歹徒掌控的帳戶進行詐騙，具有匯款權限的財務總監（CFO）最常成為是歹徒鎖定的目標，高達40.38%。」

FBI定義BEC為一種精密電子郵件詐騙，專門鎖定有外國合作廠商且需定期匯款給廠商的企業。儘管有些案例會運用到惡意程式，但絕大多數的BEC詐騙都是單純利用所謂的「社交工程技巧」

多運用社交工程技巧

趨勢科技指出BEC詐騙大致分成三種類型。

第一種是假發票詐騙，此種做法亦被稱為「假供應商詐騙」或「發票更改詐騙」，受害的一般為跟國外供應商有往來的企業。企業通常會接到歹徒的電話、傳真或電子郵件要求更改發票中的匯款目的地，或者要求將發票上的金額匯到另一個歹徒所掌控的帳戶。

第二種則是行政總監詐騙，這通常是冒用企業高層主管的電子郵件帳號，假借高層主管的名義要求某員工將款項匯至歹徒掌控的帳戶。在某些案例中，這類要求「緊急匯款」的電子郵件是直接發給金融機構，指示金融機構緊急匯款給某家銀行，這類詐騙一般稱為「企業高層主管詐騙」、「假冒名義」或「金融產業匯款詐騙」。

第三種是入侵電子郵件帳號，歹徒會直接入侵企業的某位員工電子郵件帳號，而非冒名，歹徒利用此員工的帳號發送電子郵件給該員工通訊錄中的廠商，請廠商將發票上的金額匯到歹徒掌控的帳戶。

今年3月，陸續有多家機構和企業遭遇類似的攻擊手法，一些知名的企業如Seagate和 Snapchat都遭到了相同手法的電子郵件詐騙。趨勢科技建議企業應仔細檢查電子郵件、提升員工防範BEC意識、特設人員複核匯款資訊及使用使用電話做為雙重認證機制，以防範接踵而至的網絡欺詐。