【来论】电邮骗案面面观

有网络安全公司指出，多达九成一的网络攻击由电邮开始，原因很简单，因为这是最容易、成本最低、攻击范围最大，成功率也最高的方法。

互联网电邮最初的设计，是没有太多网络安全考虑的。而电邮一般有以下风险。

垃圾电邮：是指一些不请自来，渔翁撒网式的电邮，例如一些卖药的、增强身体机能的。这些电邮卖的货品良莠不齐，更可能是非法的。这些电邮都没有提供不接收讯息的选项。虽然我们只要不理会这些垃圾电邮就是，但如每一天收很多这些电邮，要花时间清除它们也是不胜其烦。

有害电邮：有一些电邮内附有害的附件，可能是一个执行档或普通文件。收件人如不虞有诈打开了附件，电脑就可能中毒。

钓鱼电邮：电邮内会有一些连接到有害网站的超连结。这些网站常常假扮成一些常见网站，例如PayPal、O365、银行网站等，几可乱真，骗取用家的个人资料。

CEO诈骗：俗语有云：「桥唔怕旧，最紧要受」。这不是甚么高科技的技术，只是回归最基本，电邮假扮公司的CEO或高层，欺骗收件人转钱，或只是代为购买价值一百几十元的储值卡。这些看似很低水平的诈骗，但现实还是会有人上当，甚至损失数百万元。

其实电邮诈骗，来来去去都是这几度板斧，通常都会假扮与收件人有往来的发件者和连结的网站，然后内容就说很紧急，要收件者立即行动；又或以利益如很大的折扣，来引诱收件人点击或回覆。

我有时想，为何黑客的伎俩十年如一日，也不改变一下呢？我想主要有两原因，一就是如这些方法仍然有效，根本不需要改变；二是黑客的目标，根本就是一些保安意识最低的一群人。欺骗这群人的成功率最高，成本也最低，黑客不想花心神时间，在一些比较难欺骗的对象上。同样道理，这就是我们今天仍不时收到「你有一份急件」的诈骗电话一样。

一些电邮保安系统，可有效过滤这些恶意电邮，但用家仍要保持警觉。在收到一些可疑电邮，在打开附件或按下连结之前，停一停，想一想：发件者是谁？我认识的吗？我应该收到这电邮吗？连结的网站是声称的网站吗？这些都不是一些很难掌握的事，只要我们有网络安全的意识，就做得到。

叶曼春

香港电脑学会

网络安全专家小组委员会成员