美國隨著其疫苗施打率的提高，對於新冠肺炎 COVID-19 的限制也逐漸解除，許多企業逐漸回到實體上班模式。不過，即使 COVID-19 已進入其末時代，還是有不少駭客找出它可以被利用的地方，加強交叉式網釣策略。近日發現的最新詐騙手法包括向收件人發送據稱來自其公司CIO歡迎員工回到辦公室的E-Mail郵件，並嘗試從中竊取公司及員工的機敏資料。

這些欺詐性電子郵件會提示受害者連結到帶有兩個公司品牌文檔的虛假 Microsoft SharePoint 頁面，這兩個文檔都是一些公司新業務運營的概述。在此步驟中，不會提示受害者輸入任何資料。此步驟並非簡單地將受害者定向到登錄頁面，而是增加了攻擊的深度，給人一種郵件內容是公司內部真實文件的形象。

但是，若受害者在任一文檔上進行交互或單擊，則會出現登錄畫面並提示收件人提供登錄憑據以訪問文件。這種手法在大多數 Microsoft 網絡釣魚頁面中並不常見，因為手法並不是將用戶導到另一個登錄畫面，而是直接在 Microsoft 文件中打開一個身份驗證器面板，用戶更有可能提供他們的帳號資料以查看文件。此策略的另一個變化則是在將受害者帶到真實的 Microsoft 頁面之前多次發送「您的帳號密碼錯誤」，使他們認為自己已成功訪問了文件。

這已經不是駭客第一次使用 COVID-19 來進行釣魚攻擊。與醫療保健相關的勒贖攻擊在2020和2021年都很常見。據統計，從 2020 年 1 月到 2020 年 9 月，勒索軟件攻擊的所有組織中有 10% 是醫院或醫療組織。而 2020 年 10 月至 2021 年 1 月期間，隨著疫苗的研究與推出，與疫苗相關的釣魚攻擊則激增了 26%。而就在今年5月，隨著各國政府相機推出救濟金，駭客也使用假的、來自美國的援助金來散播 Dridex 惡意程式。

新冠肺炎 COVID-19 及駭客們在這段時間再次很好地為我們展現了什麼叫做人性才是最大的資安漏洞，因此不論是企業還是個人，有意識地提升自身在資安相關層面的知識都是很重要的。在收到郵件時，時刻多操一份心，多花一點時間去檢查郵件內容，總比釣魚事件發生後再補救來得更有效。

參考資料：
https://threatpost.com/hackers-exploit-covid-office/166550/