假日期間線上安全性防護指南

假期旅遊優惠、快閃特賣和最後一刻的送禮搜尋，都讓攻擊者有絕佳機會悄悄隱身其中。模仿訂房確認或促銷郵件的重新導向攻擊，常會將受害者帶到 CAPTCHA 頁面；這是使用者熟悉且很少質疑的模式。但這些並不是真正的 CAPTCHA。威脅行為者現在把它們當成傳遞社交工程指令的手段，誘使受害者直接將惡意命令貼入 Windows 執行提示字元或終端機。

Microsoft 威脅情報近期提醒，這些 ClickFix 詐騙手法正迅速擴散。這些攻擊不需要利用鏈，只需要使用者操作。正因為這麼簡單，它們極具可擴散性，尤其在假期高峰期更具威脅；此時消費者行動更快，也更容易照著看似例行的提示操作。

例如，就在感恩節前夕， Microsoft 威脅情報偵測並攔截 一場來自 Storm-0900、鎖定數萬名美國使用者的高流量網路釣魚活動。攻擊者刻意將行動安排在假日期間，因為那時人們更容易分心，也更期待緊急訊息。

這些電子郵件使用了停車罰單、醫療結果和感恩節等熟悉誘餌。每封郵件都會將受害者重新導向至由攻擊者控制的網站，先顯示假的滑桿 CAPTCHA，接著再出現 ClickFix 提示。

Microsoft 透過篩選、端點防護，以及預先封鎖攻擊者基礎架構，成功中斷了這波活動。不過，這起活動清楚顯示，威脅行為者如何將可信的 UX 模式（例如 CAPTCHA）與使用者執行手法結合，以繞過傳統防護。

年節購物會讓每個人都變成包裹追蹤達人。威脅行為者會趁勢切入這套心理流程。當許多人同時追蹤十幾個包裹時，另一封聲稱延遲或要求確認地址的郵件，往往不會引起懷疑。

根據《Digital Defense Report》，以物流為主題的網路釣魚，是最常被濫用的冒充手法之一。 Microsoft 威脅情報觀察到，每到年節檔期，這類以物流為題的誘餌都會出現可預期的高峰；攻擊者會冒充 UPS、USPS、FedEx、Amazon、DHL 以及地區郵政服務等知名業者。這些攻擊的品牌包裝極具迷惑性，出手時機也相當合理，加上購物旺季期間的使用者期待，讓它們特別容易得手。

由於這些活動會仿造合法交易流程，而且常納入從資料外洩或信箱爬取中取得的真實追蹤號碼，使用者更難辨別哪些通知才是真的。

安全不該奪走節慶的喜悅，但在活動頻繁、注意力容易分散的時刻，保持警覺更為重要。Microsoft 在 Be Cybersmart Kit 中的指引也呼應這一點：先停一下、做個驗證，或多看一眼，往往就是安全與受害之間的關鍵差別。