ASRC 2013 第二季電子郵件安全趨勢

2013年的垃圾郵件總量略有上升，約佔整體郵件的90%左右；病毒郵件的活動也較第一季升高不少。第二季較值得注意的是股票型的垃圾郵件有氾濫的趨勢，對股票市場的交易量會造成實際的衝擊。隨著許多方便免費的線上建站、問卷工具的流行，釣魚網站的創建成本與門檻大幅下降，將可能讓來自郵件的攻擊更加頻繁而簡易。整體而言，2013年第二季的垃圾郵件內容，與過往差別不大，但在細節手法上則有不少的改進。

股票型態垃圾郵件為明顯大宗

2013年第二季的垃圾郵件以股票型態的垃圾郵件為明顯大宗，這類股票型的垃圾郵件其內容通常宣稱某一檔股票的利多消息，並將此消息大量散佈，試圖誘使收信人買入其宣傳的股票，以期達成操作股價、交易量的目的。根據ASRC的追蹤觀察，在此類股票型垃圾郵件的流行期間，的確對垃圾郵件宣傳的股票會產生交易量的影響。

病毒型態並不新穎，但多半有竊取密碼的能力

第二季，病毒郵件相較於第一季有明顯上升的趨勢。病毒郵件的型態並不新穎，多半是由壓縮檔包裹一個.exe或.scr的病毒檔案。但值得注意的是，這些廣泛流傳的病毒，多半都有竊取密碼的能力。而由壓縮檔解出的.exe病毒檔，圖示會被刻意換為一般常見文件檔的「圖示」，如：PDF檔案的圖示，用以誘騙不慎的收件人執行病毒檔案。

透過郵件帳戶異常通知的攻擊郵件，誘騙收件者帳號密碼

另一種值得注意的攻擊樣本，則是郵件帳戶異常通知的攻擊郵件。這類攻擊郵件與過去常見的釣魚郵件目的相似，先大量假冒系統管理者的名義發送郵件帳戶異常通知，再誘騙收件者點擊其所提供的連結，騙取收件者輸入的帳號密碼後，再做進一步的利用。與過去不同的是，這類攻擊信搭配的釣魚網站，不再是獨立主機或獨立申請的網站，而是使用一些免費的網站建置工具，透過其上的功能，很簡單的做出一個假的登入畫面，用以騙取帳號及密碼。這不僅大大降低釣魚網站建置的成本，也可藉此躲避傳統對釣魚網站網址的偵測。

觀察第二季電子郵件安全趨勢，流行的病毒、惡意郵件，其目標都在竊取各種可利用的帳號密碼，這樣的改變是更值得擔心的。或許透過E-Mail中的連結要登入銀行帳號較容易令人產生戒心 但若是管理者發信通知電子信箱有異常需要登入，通常使用者較不設防。而現在使用者的使用習慣，忘記各種帳戶的密碼時，通常會將認證信寄送到電子郵件信箱，所以一旦電子郵件信箱密碼遭竊，遭遇的風險並不亞於銀行帳號密碼被竊，電子郵件信箱密碼的保護，不可不慎！

※關於ASRC垃圾訊息研究中心：

ASRC垃圾訊息研究中心(Active Spam-message Research Center)，長期與中華數位科技合作，致力於全球垃圾郵件發展特徵之研究事宜，並運用相關數據統計、調查、趨勢分析、學術研究、跨業交流、研討活動..等方式，促成產官學界共同致力於淨化網際網路之電子郵件使用環境。