網路釣魚 透過大量發送偽裝銀行/知名機構的欺騙郵件，誘導受害者輸入帳密、信用卡、ATM PIN 等敏感資訊。德國/英國蜜網專案組透過實戰部署蜜罐捕獲真實攻擊數據，完整還原釣魚者從「系統入侵 → 架站 → 發信 → 收集資料」的完整攻擊鏈。本文為上篇，聚焦工具鏈、基礎設施佈建與誘騙技術。
釣魚攻擊演進脈絡
- 1998 年起源：Gordon & Chess 研究 AOL 釣魚 — 偽裝系統故障通知要求重輸密碼，早期多為青少年惡作劇/長途電話詐騙。
- 現代工業化：大規模垃圾郵件發送 + 精仿官網釣魚頁 + 自動化資料收集 + 地下經濟分工 (資料買賣、洗錢、轉售)。
- 目標機構：銀行、信用卡公司、PayPal/eBay 等支付平台、社群媒體、企業 VPN/OWA 入口。
攻擊基礎設施佈建：低門檻、高匿名
- 掃描尋找跳板主機：自動掃描全網 IP 尋找已知漏洞 (CVE-2024-xxxx、弱口令、未修補 CMS/伺服器)。
- 植入釣魚套件：上傳預製妥善的釣魚頁面 (HTML/CSS/JS/圖片完整鏡像目標站) + 後端收集腳本 (PHP/ASP/JSP 接收 POST、寫入資料庫/文字檔/郵件轉發)。
- 家用 PC 也能當跳板：未修補的家用主機同樣被利用，攻擊者不挑目標，只挑「好下手」。
核心挑戰：如何誘導受害者造訪假網站？
攻擊者無法控制 DNS (DNS Poisoning/Pharming 門檻高)，必須仰賴「內容欺騙」：
- 大量發送釣魚郵件 (垃圾郵件發送者合作/自建 Botnet SMTP)。
- 郵件偽裝技巧：
- 使用 IP 位址而非域名連結 (利用用戶不檢查 IP 歸屬)。
- 註冊相似域名 (Typosquatting)：
b1gbank.com、bigbnk.com 偽裝 bigbank.com。
- 嵌入真實目標站連結 (登入頁、隱私權條款) 建立可信度，關鍵「登入/驗證」按鈕指向釣魚頁。
- HTML 郵件偽裝發件人、郵件標頭、樣式完整複製官方通知。
垃圾郵件發送鏈：殭屍網路與彈道式發送
- 發送者使用被植入垃圾郵件代理的殭屍主機 (Botnet)，或境外彈道伺服器 (Bulletproof Hosting)。
- 來源 IP 多樣化、頻率控制、輪換發件域名/IP，繞過 RBL/信譽封鎖。
- 釣魚郵件比一般廣告郵件「轉換率」高：用戶信任銀行/支付品牌，配合緊迫語氣 («安全風險、帳號將凍結») 觸發恐懼心理。
蜜網捕獲的三大實戰案例預告 (下篇詳細)
- 案例一：某銀行釣魚站架設於遭入侵的大學伺服器，郵件透過 Botnet 發送，收集帳密即時轉發至攻擊者郵箱。
- 案例二：PayPal 釣魚套件包含後台管理介面，可即時監控受害者輸入、產生報表，支援多語系、行動版適配。
- 案例三：結合惡意軟體 (Keylogger/InfoStealer) 的混合攻擊：釣魚頁誘導下載「安全元件」實為木馬，雙重竊取憑證與本機資料。
技術融合趨勢：釣魚 + 垃圾郵件 + 殭屍網路 = 犯罪即服務
- 釣魚套件商業化 (Phishing-as-a-Service)：地下論壇販售完整套件 (頁面、後台、發信服務、客服支援)，降低技術門檻。
- 自動化郵件地址收集：惡意軟體掃描受害機器通訊錄、瀏覽器儲存帳密、郵件客戶端聯絡人，餵養垃圾郵件資料庫。
- 被攻陷主機雙重角色：同時作為釣魚網站宿主、垃圾郵件發送節點、C&C 中繼、DDoS 攻擊肉雞。
釣魚攻擊已從「個人惡作劇」演變為「工業化地下產業鏈」。理解其完整攻擊鏈 (基礎設施、誘騙投遞、資料變現)，才能在正確環節佈署有效防禦：來源端 (掃描/修補/威脅情報)、傳輸端 (郵件閘道/DMARC/沙箱)、終端 (瀏覽器隔離/密碼管理器/硬體金鑰/安全意識)。下篇將詳細拆解三大實戰案例技術細節與數據流向。