107年社交工程演練 - 公職

寄個資安通報的病毒連結給他們

有的電子郵件主旨還寫非病毒非社交工程，點下去就中獎。

建議都不要去點郵件是最安全的。

樓上是說不要處理公事，多做多錯，沒做沒錯！

寄個資安通報的病毒連結給他們+1

87 我們社交還裝同事姓名

硬要騙人點就對了 體恤員工辛勞 請大家公假上課?

真的，還有偽裝成垃圾郵件阻絕通知信，怕外面的人寄信被誤
判，點進去就中了。

就點下去啊，沒點哪叫演練？

很逼真啊，真的駭客當可不會體恤你

同意樓上部分觀點，壞人是不會體恤您的。

我知道 真的駭客會這樣！但一點進去要罰手寫600字心得

所以是應該等一個月後演練結束再看email嗎？

跟你說為什麼 為了升官跟績效 本單位也是這樣玩

只要郵件設定有照規定設，其實點了也不會中獎。

沒有先通報要做演練？ 開預覽的純文字模式應該可以避掉

我這邊大部分同事怕到完全不用公務信箱了 惡劣到本末
倒置

拔網路線應該可以避掉

我都直接反映給資訊單位主管信箱說連個垃圾信都擋不住
，資訊單位是幹什麼吃的

我就幾乎不看公務電子信箱

連寄件者是誰都不看就打開 不釣你釣誰?

因社交工程而不用公務信箱，電腦一定是處在非常危險的狀態

釣魚電子郵件就跟詐騙電話一樣，當然求逼真...

大部分的勒索病毒跟木馬都來自電子郵件 不管是公務還
是私人信箱 為了你的財產跟資料 不認識的人寄的郵件真
的不要開

希望資訊單位擋住所有的病毒跟垃圾郵件 跟要求醫生所
有的手術成功率都100％一樣無理

看寄件者就知道了啊...我們機關行政人員都還有警覺心知道

一般資安宣導課程不是都有教怎麼判斷可疑郵件嗎？且過去
那種一看就知道是假的演練才是本末倒置吧，近年公務機關
是駭客攻擊頭幾名，每天都有上千次攻擊，所以上級機關的
社交工程演練才會變得比較符合現況（可以想像成手法越來
越多元的詐騙）是因為機關員工的觀念都太過時，多數人還
會責怪資訊人員沒擋住演練信件（所有的駭客滲透幾乎都是
從某個員工點到駭客寄的社交工程郵件開始，例如銀行盜領
事件）而且信箱滿跟消防演練是上級機關來的題目，不是資
訊人員自己出來整大家的好嗎？而且做社交演練老是被罵，
整到的明明是資訊人員自己吧！很無奈。我們的行政人員都
有發現寄件者不是常收到的系統信名稱，基本上這些社交工
程演練信都一定比真實的釣魚信還要簡易判斷，開信前多想
兩秒，或是一通電話打去資訊單位也可以，然後資安宣導拜
託認真上不要應付了事。

現在的網路攻擊經統計已經6成以上不是亂槍打鳥，而是用針

對性、滲透式的方式，故意使用跟員工業務相關的或者是假
的系統軟體更新通知信，來誘騙人去開信，藉此把病毒埋進
去電腦偷員工權限（或放勒索病毒）再繼續滲透以取得更高
權限的帳號，之前有些機關跟銀行就是這樣子中標的。所以
不要認為自己只是小小員工不重要，駭客是與時俱進的所以
我們的觀念也請與時俱進，前機關有類似案件發生被上級機
關派多少人來稽核追查到瘋掉...有空多看看資安新聞吧！

最基本的判斷方式1.先看寄件者2.注意看寄件者的email位址
、信中的網址是否有問題，例如沒有往來的銀行忽然寄了通
知信給你，請自行上網搜尋銀行官方網站，勿直接點信中連
結。例如客戶忽然很急的在信中叫你匯款或改帳號，請打電
話去確認。例如收到信箱滿了通知信，請直接到outlook檢查
信箱容量而非直接點信件連結。就因為各位忙，為了不要中
毒造成未來更多更煩的工作量，開信前多點警覺多想2秒吧。
越來越貼近真實情況的演練是為了大家好，否則這社交工程
演練業務吃力不討好資訊人員根本不喜歡辦這個，一旦因此
中毒又要怪資訊人員沒擋住信。趨勢防毒資安報告分享的一
句話：「通常所有的網路跟硬體連線都很安全，最有問題的
是鍵盤與座位之間的那個連線（指人）」

內容這麼長直接發文應該比較輕鬆吧XD

不小心打太多了哈哈，另外這是2018年調查 資安威脅最大
的排名是1.輕忽、缺乏資安意識的員工（資安事件主因中比
例佔超過五成）2.釣魚郵件（社交工程信）
https://m.imgur.com/PuDaDEC.png

給認為不該寄業務相關的社交工程演練信導致困擾的原po：1
05年台中市政府駭客利用「現正辦理之業務相關」的針對性
釣魚信 寄給科長跟承辦科員的資安攻擊事件 https://tinyu
rl.com/yc8g2dma

網址斷了重貼 https://tinyurl.com/yc8g2dma 釣魚信木
馬屠城記

樓上要不要發個文，這樣推太累了。

同意g大，不是公務員不處理外單位與民眾的問題！是因為我
不認識你==

資安我也認為很重要，我是真的認同G大的話！只是抒發怒氣

連垃圾信都會點，你幹啥吃的，冗員

g都有垃圾信，怎麼有智障以為他比Google強，垃圾居然敢
嗆主管，難怪刁民看不起你們

樓上注意推文內容啊，感覺有人身攻擊的疑慮了

不是不處理外部民眾，不是每個非聯絡人來電都是詐騙阿...

演練真的很奇怪…應該是資訊單位要把關好的事，反而怪
其他人點開詐騙信件？

郵件過濾有確實，一般行政電腦怎麼會收到這類的信件？
乾脆連防毒軟體都別裝了反正中毒了財產保管者自己想辦
法囉

email header中的sender可以偽造的，sender若是主管名
字你敢不開信？

傻眼，樓上是不是不熟悉電腦使用

千錯萬錯都是別人的錯

電話打來自稱檢察官要你匯錢你一定要匯？

任何資安措施都像防盜，當屋主自願開門讓小偷近來，再完善

的防盜都沒用。

演練就是因為廢物的錯 老是有廢物認為要別人負責

看來下次演練中獎者該記大過了 那些廢物認為別人要把關

總是有人認為都IT的錯，這常識....唉....

某天自己被詐騙時,要不要改說都警察的錯...接到詐騙
電話要不要說都是電信的錯，沒幫你過濾掉