據觀察，近期黑客最常運用的三大(dà)郵件攻擊手法爲：Office漏洞入侵、離(lí)線釣魚攻擊(Offline Phishing)，以及惡意VBA攻擊。事實上這三種攻擊入侵手法都是老把戲，雖然運用的技術各有不同，但是搭配戰術都是透過精心設計的社交工(gōng)程郵件對使用者設下(xià)騙局;并且在三個之中(zhōng)就有兩個是利用微軟的Office發動的攻擊。
Top1. 利用Office漏洞發動攻擊，隻要打開(kāi)文檔就受黑
黑客透過電(diàn)子郵件遞送特制的Word或RTF格式附件，搭配社交工(gōng)程手法誘騙使用者開(kāi)啓。隻要使用者開(kāi)啓附件，便會觸發OLE漏洞或方程式漏洞，自動執行内嵌的惡意指令從遠方下(xià)載并植入惡意程序，使攻擊者可取得受感染電(diàn)腦的控制權，借以發動其他惡意攻擊。
OLE漏洞(CVE20144114)與方程式漏洞(CVE201711882)并非嶄新的漏洞，但這些舊(jiù)漏洞經過時間證明，足夠「經典」并且「穩定」、「可被觸發」，隻要能夠成功引起使用者的好奇，一(yī)旦附件被開(kāi)啓，不需要使用者再配合執行其他動作，漏洞便會觸發執行惡意程序，黑客便能取得電(diàn)腦掌控權。
雖然微軟已發布漏洞修補更新，但是仍然有許多使用者因爲沒有定期更新的習慣，或是因爲使用盜版軟件而無法更新、或擔心更新後有些功能無法使用…等理由而未更新，因此讓黑客有機可乘，讓這類手法榮登黑客愛用榜第一(yī)名。
Top2. 離(lí)線釣魚(Offline Phishing)，繞過上網安全軟件與浏覽器的釣魚防護
黑客将釣魚網頁以.html或.mht附件的形式，透過電(diàn)子郵件遞送給使用者，将釣魚網頁直接呈現在受害者的本地端電(diàn)腦。當使用者上勾填入敏感數據時，便以Post方法将數據傳送出去(qù)。因爲傳送Post到外(wài)部的行爲不會受到浏覽器URL檢測的保護阻擋，可成功繞過浏覽器及部份上網安全軟件的釣魚防護，增加黑客釣魚成功的機會，榮登黑客愛用榜第二名。
Top3. VBA攻擊，自動判定操作系統以決定接下(xià)來的攻擊手法
黑客在Word中(zhōng)置入惡意VBA，透過僞裝爲收據、發票(piào)、教學文件等電(diàn)子郵件發送，當使用者受騙開(kāi)啓附件時，還會指導受害者開(kāi)啓「啓用内容」按鈕。并且可以自動判定所使用的操作系統環境爲Windows或是Mac OS X再決定接下(xià)來要下(xià)載的攻擊工(gōng)具。還以爲使用Mac就不會中(zhōng)毒嗎(ma)?當MacOS用戶變多後，Mac就與Windows一(yī)樣，是符合經濟效益的攻擊标的!這個攻擊與本文第一(yī)名的攻擊工(gōng)具同樣都是針對微軟Office進行攻擊，不過在文檔開(kāi)啓後還需要使用者再次配合按下(xià)啓用内容，名列黑客愛用榜第三名。
雖然最常用的攻擊工(gōng)具可歸納爲上述三種，然而黑客搭配運用的社交工(gōng)程手法千變萬化，瞄準人性弱點透過各種佯裝與欺騙技倆，誘導使用者配合執行動作或提供帳号密碼及其他機敏數據。
但是，隻要使用者能夠把握幾個原則，便能避免郵件攻擊帶來的傷害：
此外(wài)，光是要求使用者提升安全意識是不夠的，企業也應當提供使用者較安全的電(diàn)子郵件使用環境，以降低被黑風險。
上一(yī)篇：物(wù)聯網：五個引人注目的創新
下(xià)一(yī)篇：2019年網絡安全發展趨勢預測