【资安周报第75期】全美网络犯罪年损13亿美元，变脸诈骗最多

美国FBI所属的网络犯罪投诉中心（Internet Crime Complaint Center，简称IC3）日前公布一份美国2016年的网络犯罪报告，当年度投诉的网络犯罪案件将近29.9万件，比起2015年网络犯罪案件回报数量为28.8万件，数量相去看似不远，但2016年因为网络犯罪导致损失的金额高达13.3亿美元（约台币400亿元），比2015年网络犯罪损失金额10.7亿美元，成长24.3％。

而根据IC3的统计资讯，2016年最严重的网络犯罪手法前三名分别是，变脸诈骗（Business Email Compromise，简称BEC）、勒索软件危害，以及技术支援诈骗（Tech Support Fraud），其中以变脸诈骗案件数量虽然只占全年度的4％，但带来的损失金额却最高，占全年度网络犯罪损失将近3成。

变脸诈骗手法持续演进，万件投诉损失金额超过3亿美元

根据IC3所统计回报的网络犯罪资讯，2016年网络犯罪的报案率，其实只有15％的受害者有向执法机关报案，而这些受害者报案后，执法机关也会协助受害者，依序和银行、信用卡公司等相关单位进一步联系，先封锁并禁止相关账户有任何的活动，以避免造成更多的损失。

回头看2016年最常见的网络犯罪手法，排名第一名的就是变脸诈骗案件，也有一说是商务电子邮件入侵案件。这种必脸诈骗经常发生在一些需要与国外有业务往来的企业，因为需要经常汇款给外部客户或者是供应商，只要负责汇款人员的电子邮件遭到骇客入侵，就有机会窜改换款账号，造成企业重大损失。

IC3表示，这种变脸诈骗有些时候会利用入侵电子邮件系统账号（Email Account Compromise，EAC）的手法，锁定企业内具有汇款权限的特定当事人，骇客可以透过伪造与常见汇款邮件相似的诈骗邮件，让具有汇款权限的使用者信以为真。

因为这类的诈骗事件数量逐年增加，FBI甚至从2017年开始，将变脸诈骗的手法独立出来，并开始后续的追踪。而根据IC3收到的变脸诈骗投诉案件，2016年高达12,005件，占全年度网络犯罪案件的4％；但是，变脸诈骗带来的损失金额高达3.6亿美元，占全年度网络犯罪金额的27.1％。

因为电汇是许多有外国客户贸易往来企业常用的汇款手法，所以这样的变脸诈骗，基本上不会变更原本使用者使用电汇的汇款习惯，避免启人疑窦。而根据FBI的调查显示，这种变脸诈骗手法最早可以追溯到2013年并且经过一些亚洲国家完成转账，最早期的变脸诈骗邮件，都是骇客透过伪冒首席执行官或者是首席财务官邮件，要求相关员工在相信该封邮件是公司高阶主管寄送的前提下，汇款到特定的假账号，导致企业蒙受损失。

而这样的诈骗手法也持续变形进化，到2014年这些受害者则回报FBI，骇客连私人邮件都攻陷，此时，骇客就会利用私人信箱中的联络人清单，发送多个诈骗性的汇款信件，有人因此不察，直接汇款导致损失。

到了2015年，变脸诈骗则开始类似台湾的电话诈骗内容，会有冒用律师或事务所之类的名号，要求企业进行一些私下汇款的行为。这类的变脸诈骗不一定都要求汇款，再2016年的变脸诈骗手法则演进到，透过合法的企业电子邮件账号要求使用者的个人身份资料（PII）或者是员工的报税资料表格（Wage and Tax Statement forms）等。这类变脸诈骗可以透过各种手法、邮件标题欺骗使用者，但有很多情况往往是因为美国企业雇用非法劳工，需要透过地下管道汇兑，才使得这样的变脸诈骗越来越普遍。

若参考趋势科技对于变脸诈骗的研究，这类变脸诈骗攻击已经遍及全球92个国家，每一起变脸诈骗的攻击平均损失超过14万美元，前五名企业遭到变脸诈骗攻击比例最多的国家分别是美国（37.55％）、英国（9.61％）、香港（2.85％）、日本（2.75％）和印度（2.39％）。

勒索软件与技术支援诈骗，两者投诉损失金额达一亿美元

根据IC3的统计，2016年排名第二严重的网络犯罪其实就是让许多人闻之色变的勒索软件，投诉的案件数量将近三千起（2,673起），带来的损失约为240万美元。进一步分析这些勒索软件如何作用，可以发现，这些勒索软件往往都是透过锁定人或技术流程的弱点才可以成功，像是，将恶意软件透过网络钓鱼邮件或者是以远端桌面存取（RDP）的方式，感染使用者内部网络，并针对这些受感染电脑内的机敏资料进行加密。

至于排名第三名的技术支援诈骗，主要是利用人性的弱点，在电子邮件的标题以软件更新等内容，类似资安公司、软件公司甚至是有线电视业者等，都已可以提供技术支援的方式，吸引使用者读取邮件，最终的目的就是要让使用者同意，允许这些冒名提供技术支援的人，可以远端登入使用者的电脑进而登入使用者的网银账号。

这样的行为往往出现在使用者因为不了解一些网络服务的技术细节，冒名的骇客在联系过程中，往往会先透过电话联系，了解使用者的需求后，要求对方透过一些步骤允许使用者开放远端装置连线，冒名骇客就可以实际操控使用者的电脑。IC3表示，这类的案例在2016年接收到的投诉案件数量超过一万起，但是损失金额相对其他网络犯罪并不高，约为780万美金。勒索软件和技术支援诈骗两者损失金额加起来，在2016年大约一亿美元，相较排名第一名的变脸诈骗带来3.6亿美元的高额损失，两者相差不可以道里计。

IC3每天平均接收到的投诉案件超过800起，超过60岁以上的年龄层是最主要受到网络诈骗的一群人，2016年有5.5万人受骗，损失金额高达3.39亿美元，平均每个人受骗损失将近6千2百元（约新台币19万元）；其次受害最深的年龄层是30～39岁，受害人数为5.47万人；但损失金额第二高的年龄层则是50～59岁，损失金额为2.98亿元，平均每个人损失金额超过6千美元（约新台币18.8万元）。

妨害电脑使用是台湾网络犯罪中，破案率最低的类别

另外，台湾内政部警政署也同样于日前公布电脑网络犯罪概况，2016年台湾电脑网络犯罪案件数量为1.33万件，比2015年犯罪案件数量成长5.5％。不过，这几年台湾网络犯罪案件数量最多的前三类，依序几乎都是诈欺、妨害电脑使用以及侵害知识产权，差别在于占比些微差异。

若以2016年网络犯罪案件中，占比最高的仍是诈欺（33.9％），其次为妨害电脑使用（16.9％）和侵害知识产权（16.9％），其中，妨害电脑使用的案件因为经常涉及第三方国家的网络跳板行为，导致来源追查不易，破案率不到二成外，其余的电脑网络犯罪的破案率平均为七成二。