M09-02 · 釣魚、魚叉式釣魚與鯨釣

CEH M09-02｜釣魚、魚叉式釣魚與鯨釣

Module 09：Social Engineering（社交工程） 路線原名：Phishing、Spear Phishing、Whaling 建議閱讀時間：10～12 分鐘。

一、先說結論：先看「鎖定誰」，再看「要你做什麼」

昨天談到，社交工程會利用人的信任，讓人替對方打開原本不該開的門。今天把其中一種常見手法看清楚：釣魚。

先想像你經營一家咖啡廳。有人傳訊息說：「你的店家帳號有問題，請從這裡重新登入。」

這段話不一定是真的系統通知，也可能是有人假裝成平台客服，想讓你把密碼輸入他的假網站。

如果他把一樣的話傳給很多店家，是常見的廣撒網釣魚；如果他知道你的姓名、店名及剛參加的活動，專門替你設計內容，就是更有針對性的釣魚；如果他專挑能核准大筆款項的負責人下手，就是今天要認識的鯨釣。

重點不是背三個英文單字，而是學會判斷：對方鎖定誰？利用什麼背景讓人相信？想誘導什麼行動？

二、三個名詞怎麼分？

1. Phishing（釣魚）：用看似可信的訊息，引你做出不安全的行動

Phishing 可以想成「放一個看起來可信的餌，讓人自己上鉤」。在資訊安全裡，常見情況是冒充可信的人或機構，誘使你透露帳號密碼、敏感資料，或前往假的網站。它是數位社交工程的一種。NIST：Phishing

例如，「包裹資料待補」「帳號即將停用」「檔案需要重新登入才能開啟」，都可以被拿來當理由。這些理由本身不等於詐騙；關鍵是訊息是否具有欺騙性，以及它要你做的事是否經過驗證。

也不要把釣魚只想成騙密碼。誘導開啟惡意附件、交出資料或轉帳，都可能是目標。

廣撒網很常見，但「大量寄送」不是釣魚的必要條件。 Phishing 是上位概念，下面兩種仍屬於釣魚。

2. Spear Phishing（魚叉式釣魚／定向釣魚）：內容特別針對某個對象

Spear 是魚叉。撒網是碰碰運氣，魚叉則是先瞄準目標。

魚叉式釣魚會針對特定個人、團隊或組織，利用與對方有關的背景，讓訊息看起來更像真的。例如，訊息提到你正在處理的專案，還用你平常合作對象的名字。

判斷重點是「有針對性的內容與目標」，不是一定只寄給一個人，也不是一定寫出全名。

3. Whaling（鯨釣）：專門瞄準高階、高價值目標

Whale 是鯨魚，這裡用來比喻具有較大決策權、資金權限或敏感資訊存取權的高階目標，例如執行長、董事長或高階主管。

鯨釣通常可以理解為魚叉式釣魚中，專門針對這些高階對象的一種。不是訊息提到大筆金額，就自動叫鯨釣；要看被鎖定的受害對象。

加拿大資安中心區分：魚叉式釣魚可針對個人、群體或組織；鯨釣則鎖定高知名度人士或高階主管。加拿大資安中心：辨認惡意電子郵件

三者不是互不相干的三個盒子：鯨釣也是定向釣魚，也屬於釣魚。 考題若同時出現幾種答案，要看題幹是否提供足夠線索，選擇最貼切的分類。

三、一個完整例子：同一家教材平台，三種不同的「餌」

以下全部是虛構的 Northstar 教材平台情境，不涉及真實對象，也不需要寄送或測試任何訊息。

Northstar 使用雲端服務保存教材、學員資料與公司文件。

情境 A：很多人收到同一份帳號通知

多名員工收到沒有個人背景的訊息，要求從陌生連結登入，否則帳號會停用。後續查證發現那是假登入頁。

這是典型的 Phishing。它借用大家對「帳號不能出問題」的擔心，誘導交出登入資料。

情境 B：只針對教材專案承辦人的合作通知

承辦人小林收到一封訊息，提到他正在處理的教材專案與合作單位，要求登入查看「修訂附件」。後續確認，合作單位沒有寄出這項要求。

這是 Spear Phishing：有特定對象，也有量身設計的背景。

知道專案名稱可能讓人比較相信，但那些資訊也可能來自公開活動、社群貼文或先前外流資料。知道事情，不代表具有身分或授權。

情境 C：專門給執行長的董事會文件通知

攻擊者鎖定執行長，以公司近期董事會議題為背景，誘導他透過假的入口查看機密文件。

這是 Whaling。分類關鍵在於執行長是被鎖定的高階目標，而不只是郵件寫得正式。

最容易考錯的一點：假冒主管，不一定就是鯨釣

如果攻擊者假冒執行長，實際去騙一般承辦人，不能只因為寄件者顯示「執行長」就判定是鯨釣。

要分清楚：

• 冒充誰：用哪個身分增加可信感。
• 攻擊誰：希望哪個收件者上當。

這是從前面的定義推導出的判斷方式。資訊不足時，可以先判斷為疑似定向釣魚，不必硬貼上更細的標籤。

四、它為什麼有用？把「看起來合理」接到「危險動作」

從防守者的角度，可以用下面的理解流程整理；這是本課的教學整理，不是官方固定攻擊階段：

熟悉的身分或背景 → 看似合理的理由 → 要求你採取行動 → 行動跨過安全界線 → 可能造成損害。

用小林的情境來看：

這也接回 M01-02：資產是帳號與資料；威脅是誘導揭露或冒用；弱點可能是缺少驗證的工作流程；風險則還要看成功可能性與後果。

不是收到訊息就代表入侵成功。 中間每一步都需要自己的證據。

五、不要只靠錯字、Logo 或熟悉語氣判斷

錯字多、要求很急、寄件網址不對，確實值得警覺；但沒有這些警訊，不代表安全。

尤其 AI（人工智慧） 可以協助產生流暢文字、整理公開背景資訊，讓釣魚內容更像真實往來。社群平台上的假客服或冒充帳號，也可能是入口，不只電子郵件才有釣魚。加拿大資安中心：認識與避免釣魚攻擊

因此，下面幾句推論都不夠：

• 「沒有錯字，所以是真的。」
• 「對方知道我在做什麼，所以一定是本人。」
• 「頭像與名稱一樣，所以帳號沒問題。」
• 「他叫我再問這個客服，所以有查證過了。」

最後一點尤其重要：如果查證電話、客服帳號或網站也是可疑訊息提供的，你可能只是換一個地方，繼續跟同一個攻擊者確認。

本課先掌握文字訊息的判斷。電話、簡訊與身分冒充，會在下一單元接著學；聲音或影像看起來像本人，也不能讓驗證流程消失。

六、防護怎麼做？先停止危險動作，再用既有可信管道確認

不是要求你永遠不開信，而是遇到涉及登入、資料、金錢或權限的要求時，補上必要查核。

個人當下可以做的事

• 1. 先不要照可疑訊息操作。 不急著登入、開附件、提供驗證碼或交出資料。
• 2. 改從已知可信的入口處理。 例如自己原先保存的正式服務入口，而不是訊息裡新給的入口。
• 3. 使用既有聯絡方式核實。 從公司原本的通訊錄聯絡合作窗口，確認「是否真的有這個要求、對哪些資料、要做到什麼程度」。
• 4. 依組織流程通報。 保留可疑訊息交給指定的資訊或資安窗口，不散發給其他同事試點。

加拿大資安中心也建議，對可疑要求使用其他管道確認，而不是直接跟著郵件內的連結或附件走。辨認惡意電子郵件

組織不能只要求員工「小心一點」

在 Northstar 這個教學案例，可以設計：

• 重要資料只透過既有平台交付，減少臨時改用陌生入口。
• 付款對象、收款資料或權限變更，有獨立核准程序。
• 員工能快速通報，而且通報錯誤不被責怪，避免有人因害怕挨罵而隱瞞。
• 限制帳號權限，避免一個帳號出問題就能取得所有資料。
• 保留必要的登入與資料存取紀錄，方便查清楚實際影響。

這些是本例的防守設計，不是每個組織都適用的固定清單。具體做法要符合自己的系統與授權範圍。

七、防護與證據判讀：不要把「看到」「點過」「被入侵」混成一件事

小林說：「我好像點過那個連結。」這是需要立即處理的線索，但還不是完整的事件結論。

可以把調查分成三層：

• 觀察：郵件內容、使用者陳述、系統紀錄實際顯示什麼。
• 推論：這些線索可能代表什麼。
• 驗證：透過授權取得的紀錄交叉確認，排除其他合理解釋。

例如「異常登入」也可能是本人換了裝置，不能單憑一項警示就定案；反過來，沒有找到紀錄，也不代表一定沒發生，因為紀錄可能不完整。

如果已經輸入密碼或執行可疑檔案，不要為了查清楚而再次打開它。應立即向負責窗口說明做過哪些動作，依既有事件應變流程處理帳號與裝置；不要自行刪除所有痕跡。蒐集與測試只限合法授權範圍。

八、今天先記住四句話

• 1. Phishing： 用欺騙性訊息引你做不安全的事。
• 2. Spear Phishing： 針對特定對象設計內容，不一定只有一位收件者。
• 3. Whaling： 定向釣魚鎖定高階、高價值人物；不要只看冒充的是誰。
• 4. 防守關鍵： 信任不能取代驗證；收到訊息也不等於攻擊成功。

九、小檢核：你會怎麼判斷？

虛構的 Northstar 一位一般財務承辦人收到訊息。寄件者顯示為執行長，信中正確提到近期教材專案，要求把合作款項改匯到新帳戶，並強調「先不要打電話，我正在開會」。目前只知道承辦人收到訊息，尚未確認是否照做。

A. 如果查證確認這是攻擊，最貼切的分類是一般釣魚、魚叉式釣魚，還是可以直接斷定為鯨釣？理由是什麼？

B. 對方知道專案名稱，能不能證明這項要求是真的？下一步應該怎麼確認？

C. 現在能不能直接寫「公司已被騙款」？還缺哪些證據？

先試著用自己的話回答，不需要背課本文字。參考答案供自我對照，不代表已經完成作答或理解驗證。

展開白話參考解答

小檢核參考解答

A：優先判斷為魚叉式釣魚，不因冒充執行長就直接叫鯨釣

訊息鎖定特定承辦人，還使用教材專案背景來增加可信度，因此符合有針對性的魚叉式釣魚。它也屬於廣義的釣魚。

鯨釣要看被鎖定的高階目標，不是只看冒充的身分。本題真正被騙的目標是一般財務承辦人，所以不能只因寄件者顯示為執行長，就直接判成鯨釣。若新增其他證據，分類仍可再評估。

B：知道背景不等於取得授權，要換到既有可信的管道

專案資料可能來自公開資訊、外流內容或被冒用的帳號。應先停止變更匯款資料，使用原本公司通訊錄或其他已核實的聯絡方式，確認這個具體要求，並走既有的付款變更與核准流程。

不要使用這封信新提供的電話、連結或客服帳號來「證明這封信是真的」，也不要因對方說正在開會，就跳過必要程序。

C：還不能說已經被騙款

目前只證實收到訊息。還要釐清承辦人是否回覆、是否變更帳戶、是否提出或核准付款，以及實際付款紀錄。也需要確認收款對象與款項狀態。不能把付款申請當成已付款，也不能把收到釣魚信當成已受害。

適當的初步紀錄可以是：「收到疑似定向釣魚訊息；是否變更付款資料、是否實際付款，仍待確認。」若情境後續已證實為攻擊，可更新攻擊判定，但款項影響仍須各自查核。

延伸連結與學習脈絡

• M01-02: Asset, threat, vulnerability and risk
• M01-03: Authorization and rules of engagement
• M01-06: Security controls and defense in depth