事件主旨:
近期針對金融機構之釣魚攻擊活動說明
內容說明:
一、情資說明
泰國開泰銀行（KASIKORNBANK，KBank）旗下KASIKORN Business-Technology Group（KBTG）Cyber Defense Center近期發現一波針對多國金融機構之釣魚攻擊活動，攻擊者可依不同金融機構變更偽冒頁面，並利用遭入侵之第三方網站或另行註冊之網域架設釣魚網站。KBTG在此波攻擊活動中亦發現數筆疑似與我國金融機構有關之可疑網址。
KBTG將本次活動使用之釣魚套件暫稱為「CANCELAR」，名稱源自其中一個變種所發現之西班牙文「CANCELAR」；目前尚未對應至其他資安業者追蹤之既有釣魚套件家族或特定威脅行為者。
二、攻擊手法
1. 以異常交易訊息誘導使用者操作：釣魚頁面宣稱使用者有一筆非本人進行之交易，並顯示預設交易金額及交易編號，誘導使用者點選「取消」交易。
2. 蒐集帳號密碼、OTP及信用卡資料：使用者點選取消後，將依序進入帳號密碼、一次性密碼（OTP）及信用卡資料輸入頁面。釣魚網站可即時攔截OTP，並蒐集持卡人姓名、卡號、有效期限及CVV等資料。
3. 依不同金融機構變更偽冒頁面：同一釣魚套件可依不同金融機構調整品牌及頁面內容，並部署於不同網站。
4. 利用Cloaking機制規避偵測：KBTG發現此攻擊活動使用Cloaking機制，僅對泰國行動網路或住宅IP顯示實際釣魚頁面，對自動化掃描或來自資料中心IP的連線則回傳HTTP 404，藉此規避偵測，並可能增加完整掌握受影響目標的難度。
5. 利用遭入侵網站及另行註冊網域架設釣魚網站：攻擊者利用遭入侵之第三方網站部署釣魚頁面，亦使用另行註冊之網域架設釣魚網站。
三、F-ISAC彙整本次攻擊活動所觀察之可疑網域命名範例如附件。
風險等級:
2
建議措施:
1. 建議會員加強監控疑似偽冒金融機構之網域及網站，並留意以異常交易、取消交易等內容誘導使用者輸入帳號密碼、OTP或信用卡資料之釣魚活動。