Sophos揭露了一種複雜的新型攻擊策略。該策略結合了看似可信的電話和電子郵件通訊，試圖控制企業網路並竊取資料。惡意軟體是以一種非常罕見的方式送達受害者。首先，會先有人打電話說服受害者打開一封電子郵件，該郵件沒有文字，只有一張看似 Outlook 電子郵件的圖片。對方會要求受害者點按這封圖片型垃圾郵件中的電子郵件連結，然後下載惡意的 Electron 應用程式。這種高度針對性的攻擊顯示出攻擊者的社交工程手法日益精湛，他們開始使用複雜的策略，將眾多工具和手法結合在一起，以求有效躲避偵測。

這封電子郵件的主旨是以流暢的法文撰寫，內文中沒有任何文字，只有一張靜態圖片，看起來像是一個 PDF 附件。在電話詐騙者的指導下，員工點擊了這張圖片，然後就下載了惡意軟體。在口頭提示員工打開檔案後，網路就開始被攻擊者接管了。

一旦進入網路，犯罪分子就會使用惡意軟體搜尋各種資訊，包括財務軟體資料、Cookie、瀏覽歷史、密碼和加密貨幣錢包等。為了避免竊取資料的行為被發現，攻擊者會將被入侵的系統連線到 Tor (暗網)。不過，在這個案例中，某些因素讓員工心生警惕，他手動從工作站上拔掉了網路線，讓公司的損害受到了控制。

Sophos 警告，這種高度複雜的攻擊顯示出網路犯罪分子願意付出更多努力，就只是為了繞過一般防禦工具並取得員工的信任。釣魚攻擊非常有效，攻擊者正使用新技術改良他們的社交工程手法。儘管攻擊者更常使用簡訊而不是電子郵件，但這並不意味著使用電話詐騙的手法已經過時。

企業組織對員工做過很多電子郵件安全的培訓，但電話方面的處理較少。在這個案例中，該員工機警且快速地做出反應，否則這攻擊可能對公司造成更嚴重的後果。應該對於陌生的來電者保持警惕，此外如果對他們的要求有疑問，應直接和公司查證。

新型攻擊手法結合電話和Email詐騙，將指引你一連串的行動，迫使你一步步掉入陷阱中進而竊取個人機密資料，建議當遇到來路不明的電話時，應該先求證尋查事實真相，切勿隨意行動，貿然行事。

詳文請見資安人新聞稿