什麼是網路釣魚？
網路釣魚是特洛伊木馬演變出的新型態社交工程攻擊。攻擊者發送偽裝成銀行、購物網站（如 eBay、PayPal、花旗銀行）的電子郵件，誘騙收件人點擊連結進入外觀幾乎相同的假冒網站，進而竊取帳號、密碼、信用卡號、社安號等高價值個人財務資料。Gartner 調查顯示，過去一年有 1/5 美國人成為釣魚攻擊目標，5700 萬消費者收到過釣魚郵件，400 萬人實際遭詐騙。
釣魚攻擊演進：從靜態偽裝到動態 JavaScript 駭客技術
傳統手法：靜態假網址列圖片
早期釣魚郵件僅在郵件中放置連結，或用圖片偽裝瀏覽器網址列，觀察力敏銳的使用者仍能從真實 URL 辨識真偽。
新伎倆：動態 JavaScript 修改網址列
最新變種使用 JavaScript 程式碼在瀏覽器中動態改寫網址列顯示內容，甚至修改瀏覽器 UI 元素，使受害者看到「https://www.citibank.com」等合法網址，實際卻身處駭客控制的釣魚站。此技術大幅提高騙取成功率，花旗銀行、eBay、US Bank 成為被冒名頂替最多的前三大品牌。
中招徵兆與傳播管道
系統異常行為
- 電腦運行明顯變慢、出現不明進程（可透過工作管理員發現）。
- 登錄檔、系統設定檔被竄改（如修改 Hosts 檔、新增啟動項）。
- 未經授權自動發送大量電子郵件（作為二次傳播管道）。
傳播方式
- 電子郵件附件（偽裝發票、郵件通知）。
- 即時通訊軟體傳送釣魚連結。
- 捆綁在免費軟體、破解補丁、盜版遊戲安裝包中。
- 駕馬網頁利用瀏覽器漏洞無聲下載安裝（Drive-by Download）。
防範釣魚：技術佔 20%，意識佔 80%
McAfee AVERT 副總裁 Vincent Gullotto 指出：惡意軟體威脅年增 20%，單靠技術手段無法完全防禦。核心防護策略如下：
技術層面（20%）
- 安裝個人防毒軟體 + 個人防火牆，啟用即時掃描、網頁防禦、反釣魚模組。
- 瀏覽器啟用「智慧型畫面篩選」（SmartScreen Filter）或同類信譽防護。
- 使用密碼管理器自動填表，避免在假網站手動輸入帳密（密碼管理器不會在網址不符時自動填入）。
- 企業部署郵件閘道器，攔截偽造寄件者、含釣魚特徵的郵件。
意識層面（80%）—— 關鍵在於「不輕信、不點擊、不輸入」
- 銀行/購物網站從不會透過郵件要求你確認帳號密碼。 收到此類郵件直接刪除。
- 手動輸入網址或使用書籤登入金融網站，勿點擊郵件、訊息中的連結。
- 檢查網址列 SSL 憑證： 確認網址以
https:// 開頭、鎖頭圖示正常、憑證主體與機構名稱一致。
- 啟用雙因子認證（2FA）： 即使帳密外洩，攻擊者仍無法登入。
- 定期檢查帳單、信用卡明細，發現異常交易立即通報銀行。
結語
網路釣魚本質是「利用人性弱點（貪婪、恐懼、信任）繞過技術防線」。技術手段能攔截已知威脅，但面對層出不窮的新變種，提升個人安全意識、養成驗證習慣 才是根本之道。記住：網路上沒有免費的午餐，也沒有銀行會要你用郵件「確認密碼」。保持懷疑、多一層驗證，你的錢包才會安全。