Barracuda 簡訊 – 網絡安全威脅《焦點報告》：惡意使用 reCaptcha

Barracuda 簡訊 – 網絡安全威脅《焦點報告》：惡意使用 reCaptcha

網絡犯罪分子手法層出不窮，雲端安全解決方案供應商 Barracuda 發表每月《焦點報告》（Threat Spotlight），發現網絡釣魚攻擊惡意使用 reCaptcha 的趨勢日漸上升，試圖阻截 URL 自動分析系統存取釣魚網頁內容，另以增加其可信性。

一般而言，企業會使用 reCaptcha  識別真實用戶與Bot（機械人程式）， 阻止Bot恣意存取網頁內容。 隨着 reCaptcha 的應用普及， 用戶已習慣回應 reCaptcha 問題並減少戒心，犯罪分子因此利用正當 reCaptcha 混淆用戶，以提高釣魚網站的可信性，誘騙用戶上當。

雖然部分攻擊使用虛假 reCaptcha，僅提供簡單仿冒選擇框和表單，然而 Barracuda 發現近期釣魚攻擊使用真實 reCaptcha API 呈上升趨勢，做法可有效跳過 URL 自動分析系統對虛假 reCaptcha 的偵測和阻截。

Barracuda 偵測到多個包含 reCaptcha 的電郵憑據釣魚攻擊。 其中一個攻擊發出逾 128,000 封釣魚電郵，以虛假 reCaptcha 混淆用戶仿冒的 Microsoft 登錄頁面，當用戶打開該電郵包含的 HTML 附件時，會被連接到虛假 reCaptcha 頁面，用戶通過 reCaptcha 驗證後將被連接到釣魚網頁。

如何防禦惡意 reCaptcha 攻擊

在防禦惡意使用 reCaptcha 中，安全意識教育是重要的一環，提醒用戶時刻保持警惕而不可假設所有 reCaptcha 都安全。用戶在查看 reCaptcha 時應仔細檢查，尤其是陌生頁面。

應對電郵釣魚攻擊時，仔細檢查可疑發件人、URL 和附件等措施有助用戶在被連接到 reCaptcha 前已可識別出攻擊，因為為用戶提供安全意識培訓及如何識別網絡釣魚攻擊可大大減低相關風險。

即使惡意使用 reCaptcha 的技掚可跳過 URL 自動分析系統偵測功能，由於電郵本身仍屬釣魚攻擊，可能會被電郵保護方案偵測到。然而，畢竟未有單一解決方案可以全面堵截所有攻擊，用戶識別可疑電郵和網站的能力是最重要的防線。

有關報告詳情，可參閱英文版附件或於 https://blog.barracuda.com/2020/04/30/threat-spotlight-malicious-recaptcha/ 下載。