什麼是網路釣魚？

網路釣魚是一種社交工程攻擊，駭客透過偽裝成合法機構（銀行、電商、政府機關、遊戲平台等）發送電子郵件、即時通訊訊息或建立仿冒網站，誘騙受害者點擊連結、輸入帳號密碼、信用卡資訊、身分證字號等敏感資料，進而竊取財產或個人身分。

常見釣魚手法解析

1. 幸運中獎/獎勵通知

訊息聲稱「恭喜您中獎」、「點擊領取禮品」，發送者常偽裝為官方客服或系統通知。實際上，連結導向仿冒登入頁，要求輸入帳密或繳納「郵費/手續費」。

2. 高仿真仿冒網站

• 網址極度相似：如 www.icbc.com.cn.phisher.site、paypa1.com（數字 1 替代字母 l）。
• 頁面樣式、Logo、甚至 SSL 憑證（DV 憑證）都與真站幾乎一致。
• 常見目標：網銀、支付平台（PayPal、支付寶）、社群帳號（Facebook、Google、Apple ID）、遊戲帳號（Steam、Battle.net）。

3. 郵費/手續費陷阱

「獎品已寄出，請繳納 50 元郵費」——這才是詐騙核心。一旦受害者付款，駭客取得信用卡資訊，獎品根本不存在。

4. 緊急恐嚇/帳號異常

「您的帳號將被凍結，請立即驗證」、「偵測到異常登入，請點擊連結重設密碼」。利用恐懼感迫使受害者跳過思考直接操作。

如何快速識別釣魚攻擊？

檢查項目	正常狀況	釣魚特徵
寄件者郵件位址	官方網域（如 @bank.com.tw）	免費信箱、亂碼網域、子網域偽裝（security.bank.com.phisher.com）
連結真實網址	滑鼠懸停顯示官方網域	指向 IP 位址、縮網址、陌生網域
語法與排版	專業、無錯字	錯別字多、語法不通、排版混亂
索取資料範圍	僅需必要資訊	一次索取帳密、信用卡、身分證、OTP 等完整資料
緊迫語氣	很少使用「立即、否則關閉」	大量使用緊急、威脅字眼

防範行動準則

1. 養成直接輸入網址習慣： 不點擊郵件/訊息中的連結，手動輸入官方網址或使用書籤。
2. 啟用雙因子驗證（2FA/MFA）： 即使帳密外洩，攻擊者仍無法登入。
3. 使用密碼管理器： 自動填入密碼時會比對網域，仿冒網站無法自動填入。
4. 安裝反釣魚瀏覽器擴充/安全軟體： 即時攔截已知釣魚網址。
5. 定期查閱官方公告： 銀行、電商常發布最新詐騙案例與防範提醒。
6. 收到可疑訊息先驗證： 透過官方客服電話、官方 App 推播確認，切勿回覆訊息或撥打訊息中提供的電話。
7. 保護個人資料： 不在社群公開發布生日、電話、地址等可被用於身分盜用的資訊。

企業/組織防禦建議

• 實施 DMARC、SPF、DKIM 郵件認證，減少偽造郵件送達。
• 定期辦理社交工程演練（模擬釣魚郵件），提升員工警覺性。
• 部署郵件閘道器掃描惡意附件與連結。
• 建立事件回報機制，鼓勵員工主動回報可疑郵件。

結語

網路釣魚利用的是人性弱點（貪婪、恐懼、信任、好奇），而非單純技術漏洞。保持懷疑態度、驗證來源、善用技術輔助工具，就是最有效的防禦盾牌。