M09-03 · 語音釣魚、簡訊釣魚與身分冒充

透過完整 Northstar 案例與七張雙語示意圖，理解跨管道冒充、OTP 轉交、抗釣魚驗證、獨立查證與事件證據，並連結 CEH 的防護與應變知識。

CEH M09-03｜語音釣魚、簡訊釣魚與身分冒充

Module 09：Social Engineering（社交工程）｜初學者教學｜約 12–15 分鐘

本課最重要的觀念：攻擊者不一定需要破解你的電腦，只要讓你誤以為他是可信任的人，就可能誘導你親手完成不安全的操作。

而且，收到兩則看似互相證明的訊息，不代表有兩個獨立的可信來源。

我們會透過一間虛構的 Northstar 教材中心，依序理解：

1. 攻擊者怎麼利用簡訊、電話與假身分？
2. 為什麼真正的登入驗證碼，也可能變成攻擊工具？
3. 為什麼獨立查證比辨識聲音真假更可靠？
4. 資安人員如何結合 CEH 其他單元的觀念，分析、阻擋與調查攻擊？

一、先建立全貌：釣魚攻擊其實有四個不同面向

上一課 M09-02 介紹了 Phishing（釣魚）、Spear Phishing（魚叉式／定向釣魚）與 Whaling（鯨釣）。

今天要加入三個新名詞：

Smishing：簡訊釣魚，使用簡訊誘導被害人。
Vishing：語音釣魚，透過電話或語音誘導被害人。
Impersonation：身分冒充，讓被害人誤認攻擊者是其他人或機構。

這些不是互斥的攻擊分類。它們是在回答不同問題。

先分清楚：圖示機制，不等於事件證據

圖中的 Northstar 與小林是合成教學情境。圖例說明某種機制怎麼可能發生，不宣稱真實事件已發生。

事實：有資料直接支持的有限觀察；例如已收到簡訊。通話紀錄不等於通話內容。
風險：有可能受害而需要防護；例如回報曾交出驗證碼，應及時處理，但不代表已登入成功。
假設：待查證的解釋；例如簡訊與電話由同一方安排。圖中可為教學而設定，實案仍須證據。
未知：資料不足，暫不能下結論；例如未授權登入、資料外流或實際影響範圍。

概念｜分類是在描述同一事件，不是在四種攻擊裡選一種。

圖 1｜本課建立的四維攻擊分析框架。

本課的分析工具：目標、管道、冒充身分、要求行動可以同時成立。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

鎖定誰？｜Target: 一般員工小林；是否有證據顯示特別針對他設計？
從哪裡接觸？｜Channel: SMS 簡訊與 Voice 語音；同一場攻擊可以跨管道。
假扮成誰？｜Identity: 自稱資訊服務台；假冒可信的客服角色。
要求做什麼？｜Action: 交出登入驗證碼，或核准不是自己發起的登入。

開啟原尺寸 SVG 下載圖 1 繁中 SVG

讀圖｜以事件為共同參照，分別找目標、接觸管道、聲稱身分與要求行動；連線表達關聯，不是時間或因果。

例子｜小林是目標；簡訊與電話是管道；服務台是冒充身分；驗證碼是索取內容。

技術機制｜同一組資料可以支持多個分類，但「特別針對」及「高價值目標」各需要相應證據。

限制｜事實與假設要分開：被叫出姓名不自動證明量身設計；冒充主管也不自動等於 Whaling。

例如，攻擊者可能蒐集小林的背景資料，特別針對他設計簡訊，再以電話假冒公司客服，要求提供驗證碼。

如果確實有證據支持「量身設計」，我們就可以描述為：

定向釣魚（目標）＋簡訊與語音釣魚（管道）＋身分冒充（手法）＋取得驗證碼（目的）。

注意一個考試容易犯的錯誤：攻擊者自稱董事長，並不自動構成 Whaling。鯨釣主要是指鎖定高階或高價值人物，而不是冒充高階人物。

加拿大資安中心也將 Smishing、Vishing 等歸在社交工程及釣魚攻擊的相關類型。加拿大資安中心：社交工程；語音釣魚；簡訊釣魚

二、Vishing 與 Smishing：兩個管道，可能只有一個攻擊者

想像你是 Northstar 教材中心的小林。

上午 10 點，你收到簡訊：

【Northstar 資訊服務台】偵測到您的教材帳號異常登入，請儘速聯繫客服，以免帳號停權。

兩分鐘後，電話響了。

對方說：「小林您好，我是資訊服務台。你現在負責的教材專案帳號有異常，我們剛才應該有發簡訊給你。」

小林心想：「他竟然知道我的名字、工作內容，還知道我剛收到簡訊。」

然而，真正可能發生的是：

概念｜管道不同，不代表來源獨立。

圖 2｜攻擊者可以同時控制簡訊和電話，製造彼此佐證的假象。

同一個攻擊者安排簡訊與電話，讓小林誤以為兩邊互相佐證。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

同一個攻擊者: 同時安排簡訊與語音接觸；控制來源沒有變成兩個。
簡訊 SMS: 攻擊者傳送「帳號出現異常」，引導小林處理假事件。
電話 Voice: 同一方來電自稱資訊客服，提到剛才的簡訊。
小林收到兩段接觸: 一致說法可能只是同源安排，不能單獨證明客服身分。

開啟原尺寸 SVG 下載圖 2 繁中 SVG

讀圖｜從小林沿簡訊與電話路徑往回看：兩條箭頭若都接到同一控制方，就沒有增加一份獨立身分證明。控制邊界不是電信網路邊界。

例子｜假客服能說出剛才簡訊的內容，可能只因為那則簡訊也是他安排的。

技術機制｜箭頭表示誰安排或傳遞訊息，不表示來電者已通過身分驗證，也不表示攻擊者控制整個電話網路。

限制｜圖中同源是合成情境的假設；真實案例若只有兩則一致訊息，同源與真實身分都仍待查證。

這個手法利用了人的一種直覺：當不同地方都出現一致資訊，我們容易認為可信度增加。

但從資安角度，關鍵是證據是否真正獨立。

三個需要分清楚的技術觀念

1. Caller ID Spoofing（來電顯示偽冒）

電話顯示的號碼或名稱，可能遭到偽冒。

就像寄信時，信封上寫「某某銀行寄出」，不代表你已經確認寄件者真的是銀行。

FTC 提醒，不能只根據來電顯示判定對方身分。美國聯邦貿易委員會：來電顯示可以被偽冒

2. AI Voice Cloning（AI 語音複製）

攻擊者也可能使用 AI 模仿主管、親友或客服人員的聲音。FTC：AI 語音複製詐騙

但要注意：

聽起來像真人，不代表是真人。
聽起來像某個人，不代表真的是那個人。
聲音有失真，也不能直接認定使用了 AI。

因此真正的防護策略，不是要求你練出一雙能百分之百辨認 AI 假聲音的耳朵，而是建立不依賴聲音本身的身分驗證程序。

3. Reconnaissance（偵察）與 Footprinting（足跡蒐集）

這裡可以連結 CEH M02 的相關概念。

攻擊者能叫出小林的姓名、部門與專案名稱，可能是因為事前從公司網站、社群貼文、活動名單等地方蒐集資訊。

如果是從系統服務查得具體帳號、群組或共享資訊，還可能連結 M04 的 Enumeration（列舉）。

但要嚴格區分：

知道一個人的背景，不代表攻擊者已經入侵他的帳號；知道內部專案名稱，也不直接證明資料曾經外洩。

三、真正的 OTP，怎麼會協助假客服？

這是整堂課最值得理解的技術機制。

OTP（One-Time Password，一次性密碼／驗證碼）原本是一種安全措施。

本課用 OTP 泛指這個案例的一次性登入碼。嚴格依 NIST 分類，平台傳到手機的簡訊碼屬於帶外驗證（Out-of-Band Authentication），與驗證器自行產生的 OTP 是不同類型；兩者若需要人手轉填，仍可能遭到誘騙轉交。NIST SP 800-63B-4：驗證器與抗釣魚能力

假設你登入教材系統：

1. 輸入帳號與密碼。
2. 系統要求第二項驗證。
3. 平台傳送一次性驗證碼到你的手機。
4. 你在自己發起的登入流程中輸入驗證碼，平台驗證通過後才可能允許登入。

正常情況下，OTP 是在降低帳號遭盜用的風險。

但攻擊者可以利用社交工程，嘗試讓你把驗證碼交給他。

概念｜驗證碼是真的，不代表索取它的人是真的。

圖 3｜一次性驗證碼的社交工程攻擊流程。這是合成情境，並非所有網站都採取相同驗證程序。

合成情境：驗證碼是真的，索取它的人卻可能是假的。每個平台的條件不同。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

攻擊者發起請求: 嘗試登入或帳號復原；仍須滿足平台的其他驗證條件。
真正的平台發送 OTP: 平台把該次操作的驗證碼送到小林的手機。
小林收到真碼與假電話: 手機收到真的 OTP；同時有人冒充客服要求念出它。
小林把碼交給冒充者: 驗證碼由持有人轉交給攻擊者，而不是自行在可信入口使用。
攻擊者嘗試提交驗證碼: 把碼送回真正的平台；是否成功仍取決於其他條件與實際紀錄。

開啟原尺寸 SVG 下載圖 3 繁中 SVG

讀圖｜把三個角色固定看清楚：攻擊者先嘗試向平台發起請求；平台把碼送到小林手機；小林把碼交給冒充者；攻擊者再嘗試交回平台。箭頭要讀成「誰把什麼交給誰」。

例子｜小林沒有發起登入，卻在電話中念出平台剛送來的碼；風險出現在碼跨到不可信任一方的那一刻。

技術機制｜平台仍會檢查有效性、操作對應與其他條件；末端是嘗試，不是成功保證。本例的簡訊碼依 NIST 分類屬帶外驗證。

限制｜交出碼支持暴露風險；是否接受、誰登入、做過什麼仍屬未知，必須另查平台與操作紀錄。

為什麼平台無法單靠 OTP 分辨是不是本人？

用白話來說：

平台檢查的是「這組驗證碼是否正確、有效、符合驗證規則」，不一定能知道輸入驗證碼的人是不是手機真正的持有人。

假設：

攻擊者已取得小林的帳號密碼。
平台再要求一組簡訊驗證碼。
小林把驗證碼念給假客服。
攻擊者在有效期限內，把驗證碼提交給真正的平台。

在其他驗證條件也成立時，攻擊者就可能成功登入。

這裡也要修正一個常見誤解：不是所有 OTP 只要被知道，就一定可以登入。有些系統還有裝置限制、額外驗證、風險判定等條件；不同驗證碼也可能只對應特定操作。

接著理解 MFA 與抗釣魚驗證

MFA（Multi-Factor Authentication，多因素驗證）是要求不同類型的驗證因素。

例如：

驗證因素	生活化例子
Something you know	你知道的密碼
Something you have	你持有的手機或安全金鑰
Something you are	你的指紋等生物特徵

這裡的核心不是驗證步驟有幾個，而是有沒有使用不同類型的因素。兩組密碼不會因為輸入兩次，就自動變成 MFA。

NIST SP 800-63B-4 明確指出，需要手動輸入驗證輸出的 OTP 與帶外驗證，不屬於抗釣魚驗證（Phishing-resistant Authentication），因為手動輸入不會把驗證輸出綁定到正在驗證的特定工作階段（一段特定的驗證互動），攻擊者可能轉交該輸出。NIST SP 800-63B-4：抗釣魚能力

進一步比較：

概念｜多一步驗證，與讓假網站無法利用驗證輸出，是兩件事。

圖 4｜抗釣魚能力不等於只是增加一個驗證步驟。

比較的是驗證輸出能否被轉交，以及它是否綁定正確的驗證對象。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

傳統 OTP: 本例的簡訊驗證碼有期限、只能使用一次，仍可能被即時轉交給攻擊者。
抗釣魚驗證: 例如正確實作的 FIDO2／WebAuthn 驗證，透過密碼學機制綁定驗證對象。

開啟原尺寸 SVG 下載圖 4 繁中 SVG

讀圖｜傳統碼的箭頭是可被人轉交的短期輸出；抗釣魚一側的箭頭是對指定服務的驗證證明，不是把私鑰交給服務或客服。

例子｜念出簡訊碼可能讓別人即時轉填；正確的 WebAuthn 驗證則把驗證對象納入機制。

技術機制｜這不是一條魔法箭頭：瀏覽器先檢查網頁來源（origin）是否可使用該服務識別（RP ID）；驗證器依 RP ID 限定憑證。服務端另檢查回覆中 clientDataJSON 的來源與本次挑戰值（challenge）、驗證器資料的 rpIdHash，以及簽章等條件。W3C WebAuthn：用戶端；服務端驗證

限制｜驗證回覆不傳私鑰，不等於每把 passkey 永遠只存本機；可同步憑證能透過受保護的機制在裝置間同步。此圖也不能證明付款有授權，或復原、備援登入和裝置安全都已妥善處理。NIST：可同步驗證器

Passkey（通行密鑰）是基於 FIDO 標準的密碼學登入憑證，常透過 WebAuthn 使用；但完整服務的保護仍要看具體實作、帳號復原及使用情境。抗釣魚驗證主要防止登入憑證被假網站利用，不會自動阻擋所有詐騙付款或不當資料授權。FIDO Alliance：Passkeys

再連到 Authentication 與 Authorization

這裡要建立資安工程最基本的區分：

Authentication（身分驗證）：你是誰？你能否證明自己控制這個帳號？
Authorization（授權）：你通過身分驗證後，可以做什麼？

就像進辦公室要先刷員工證，但進去之後，也不是每間主管辦公室、每個資料櫃都可以打開。

因此，登入成功不代表所有操作都有授權；攻擊者取得驗證碼，也不代表他已讀取全部資料。

四、Independent Verification：真正的查證，是離開對方控制的資訊來源

現在回到小林的案例。

假客服說：「如果你不相信我，可以回撥剛剛簡訊裡的客服電話。」

小林照做，接電話的人說：「對，剛才確實有一張異常登入工單。」

你覺得這樣完成查證了嗎？

沒有。因為客服號碼和工單資訊，可能全部都是攻擊者提供的。

概念｜查證要離開可疑方提供的來源，不只是換一個工具。

圖 5｜獨立查證最重要的是信任來源，不是更換通訊工具。

差別不在換了幾個 App 或問了幾次，而是是否離開可疑來源控制的聯絡方式。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

路線 A｜仍在可疑來源的圈子: 可疑簡訊 → 簡訊提供的客服連結 → 對方提供的客服號碼 → 對方聲稱確認成功。這仍沒有獨立證明。
路線 B｜回到既有可信程序: 可疑簡訊 → 暫停、掛斷 → 自行開啟既有服務台 → 核對工單、身分與權限。只執行必要且已授權的操作。

開啟原尺寸 SVG 下載圖 5 繁中 SVG

讀圖｜路線 A 沿對方給的連結與號碼前進，仍留在同一控制範圍；路線 B 在暫停通話後，從先前已核實的入口另起查證。

例子｜自己開啟既有官方 App 與點進簡訊提供的「官方 App」連結，來源不同，不能當作同一條安全路徑。

技術機制｜可信來源只建立可查證的起點；仍須分別核對身分、事件／要求與操作授權。路徑箭頭是查證步驟，不是可信程度自動增加。

限制｜若入口也由可疑方臨時提供，邊界並未真正跨過。確認某人任職的事實，也不能推出他的所有要求都獲授權。

假設你收到有人冒充銀行客服的電話，正確做法是結束可疑通話，再自己開啟銀行原本就已安裝的官方 App，或使用之前已核實的官方聯絡方式查證。

在台灣，民眾也可以自行撥打 165 反詐騙諮詢專線，協助辨識可疑詐騙情境。這是刑事警察局提供的正式諮詢管道。刑事警察局：165 反詐騙諮詢專線

但要進一步記住：即使確認來電者真的在公司工作，也不代表他的每一項要求都有授權。

例如真正的資訊人員要求你寄出全公司員工資料，也需要檢查工作目的、權限與正式核准流程。

所以我們要分成三件事：身分是真的嗎？要求是真的嗎？操作有獲得授權嗎？

五、資安事件判讀：交出驗證碼，不等於已經完成入侵

這裡直接連結先前 M01-07 的 Incident Response（資安事件應變）。

假設小林向資安人員報告：「我接到假客服電話，好像把驗證碼唸給他了。」

資安工程師不能直接寫：

「攻擊者已經入侵公司，所有教材資料全部外洩。」

因為目前的證據只能支持更有限的結論。

概念｜事件判讀不是把五張卡片自動串成成功入侵故事。

圖 6｜事件發展與證據層次。實務上各階段可能重疊、跳過或尚無法確認。

這些是不同的證據問題，不是必然依序發生的攻擊階段；可能重疊、跳過或仍無法確認。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

接觸: 簡訊與通話紀錄：能證明有接觸跡象，不能單靠顯示資訊確認身分。
憑證暴露: 員工表示說出 OTP：有驗證資訊暴露風險，應立即依風險處置。
驗證成功: 平台驗證或登入紀錄：仍須核對操作者與授權，不能直接認定是攻擊者。
未授權操作: 存取或變更紀錄：核實操作者、工作目的、權限及實際行為。
資料外流: 經核實的傳輸證據：確認資料內容、接收方及範圍，不能只靠下載警示定案。

開啟原尺寸 SVG 下載圖 6 繁中 SVG

讀圖｜將每一項主張連到支持它的資料，並保留未確認狀態；接觸、暴露、登入、操作與外流不是必經的單一路線。

例子｜現在只有簡訊、通話紀錄與員工口述：接觸有資料，交碼有回報而構成風險；攻擊者成功登入及外流仍未確認。

技術機制｜登入成功紀錄仍須核對操作者與授權；下載警示仍須核對資料、接收方和傳輸證據，不能跨級推論。

限制｜可以先通報、保全與控制風險，但不能把處置需要寫成已證實損害；沒有查到紀錄也不等於證明安全。

現在用實際的證據思考：

已經掌握的資料	能合理下什麼結論？
簡訊截圖與通話紀錄	確實有訊息與通話的跡象，還不能確認來源身分
小林表示已唸出 OTP	有驗證資訊暴露風險，需要立即處理
平台顯示成功登入	有登入成功事件，仍要確認是否為未授權登入
異常裝置存取、下載紀錄	有值得調查的存取行為，需確認操作者及目的
經核實的資料傳輸證據	才能進一步支持資料外流判斷，並評估範圍

風險處置可以先於完整調查，但最終結論不能超越證據。

如果小林真的把驗證碼交給陌生人，應立即透過正式服務台通報。視系統情況，由授權人員檢查登入紀錄、終止可疑工作階段、更新必要憑證，並保全日誌。

如果沒有看到登入紀錄，也不能保證絕對安全，因為紀錄可能不完整或尚未查到正確來源。

這其實就是 M01-07 教過的原則：先限制可能的損害，再調查、復原與改善。

六、把本課連接到前面 CEH 的知識地圖

現在最重要的不是再背更多縮寫，而是理解相關概念怎麼一起運作。

概念｜知識地圖是選擇分析工具的索引，不是固定攻擊劇本。

圖 7｜將 M09-03 放回整體 CEH 的知識架構，而不是單獨背誦三個新名詞。

概念關聯，不是固定攻擊順序。合法授權與交戰規則約束整個測試與調查過程。

空間圖保留角色位置：窄螢幕可在圖框內左右捲動，或開啟原圖放大。下方文字說明會自動換行。

M09｜社交工程: 辨認釣魚、身分冒充與跨管道信任。
M02／M04｜偵察與列舉: 蒐集目標與環境線索；有線索不等於已入侵。
M01-04／05｜攻擊分析: 從攻擊向量與實際行為分析；ATT&CK 分類不是成功證明。
M01-01／02｜安全與風險: CIA、資產、威脅、弱點與後果。
M01-06｜防護措施: 身分驗證、最小權限與縱深防禦。
M01-07｜事件應變: 偵測、圍堵、調查、復原與改善。
M01-03｜合法授權與 ROE: 安全測試與調查都必須在明確授權與範圍內。

開啟原尺寸 SVG 下載圖 7 繁中 SVG

讀圖｜關聯線連結社交工程與偵察、行為分類、防禦、風險和應變；授權與 ROE 的外框約束整個測試及調查範圍。

例子｜收到假客服電話，可同時用 M09 看誘導、用 M01-05 描述行為，再用 M01-07 安排證據與處置，不必先證明經過每個模組。

技術機制｜ATT&CK 對應說明觀察到的行為類型；最小權限、驗證與應變則從不同位置降低風險，彼此不是必經前後步驟。

限制｜模組有連線不代表攻擊成功，也不代表學習者已完成那些單元；教材示例不構成對真實帳號進行測試的授權。

再深入兩個最重要的連結

第一個：M01-05 MITRE ATT&CK。

M01-05 說明了：MITRE ATT&CK 不只是把攻擊分階段，而是用 Tactics（戰術目的）與 Techniques（技術行為）描述攻擊。

針對目標使用語音誘導他提供存取權限，能與 ATT&CK 的 T1566.004 — Spearphishing Voice 對應。這項技術位於 Initial Access（初始存取）的戰術範疇。

但不能因為看到一通假客服電話，就認定攻擊者已成功取得初始存取權限。ATT&CK 的技術分類是在描述行為，事件成功程度仍要用證據確認。

第二個：M01-06 Defense in Depth（縱深防禦）。

假設 Northstar 要防止這類事件，不能只靠教育員工「不要相信陌生電話」。

應同時安排不同層次的措施：

防禦層次	對應措施
人員與流程	既有查證管道、可疑要求通報、敏感操作複核
帳號與驗證	適當採用抗釣魚 MFA、異常登入監控
權限管理	最小權限（Least Privilege）、重大變更另行核准
裝置保護	遠端協助工具須經正式授權
偵測與應變	日誌、異常告警、工作階段撤銷與事件調查

這就是縱深防禦的價值：即使小林一時做出錯誤判斷，還有其他控制措施降低攻擊成功與損害擴大的可能性。

從 M01-01 的 CIA Triad 來看，未授權讀取教材資料可能危害機密性（Confidentiality）；擅自修改課程成績可能危害完整性（Integrity）；帳號遭鎖定使工作中斷，則可能危害可用性（Availability）。

七、兩分鐘小實驗：親自判斷可信來源

不用安裝 Kali Linux、不需要執行指令，也不需要真的傳簡訊。

假設有人自稱銀行客服，要求你提供手機收到的登入驗證碼。你要如何查證？

A. 回撥對方簡訊提供的客服號碼

B. 自行開啟先前確認的官方銀行 App，從既有入口查詢

C. 請來電者再說一次自己的員工編號

請先選擇並說出理由，再展開參考解答。這是桌上練習，不會送出答案，也不代表已完成理解驗收。

參考解答：1. 兩分鐘小實驗：哪個查證方式比較可靠？

參考答案是 B：自行開啟先前確認的官方銀行 App，從既有入口查詢。關鍵不是「App 一定比電話安全」，而是這個入口不是這次可疑來電或簡訊臨時指定的。

A 仍然使用可疑來源提供的號碼。即使接電話的人說「確實是我們」，也可能只是同一方安排的另一段話，不能當成獨立證明。

C 要求對方再說一次員工編號，也沒有離開對方控制的資訊來源。對方說得出編號，不等於你已從可信系統查到這個人、工單與要求。

實際處理時，先不提供登入驗證碼，結束可疑通話，再使用自己既有的可信聯絡方式確認身分、要求與授權。即使確認是銀行人員，也不要因此省略敏感操作的正常程序。加拿大資安中心：語音釣魚的防護

八、課後理解檢核

下面三題涵蓋本課的攻擊分類、驗證機制與事件應變。先用自己的話思考，不需要寫很長。

第 1 題｜攻擊分類

攻擊者針對一名公司財務主管，先傳送釣魚簡訊，再打電話假冒銀行客服。這個事件可能同時涉及哪些釣魚概念？為什麼？

第 2 題｜技術原理

為什麼真正的平台產生的 OTP，仍可能協助攻擊者完成登入？為什麼這不代表 MFA 完全沒有用？

第 3 題｜事件處置

員工確實說出 OTP，但目前只有通話紀錄，尚無登入與存取日誌。你可以確認哪些事？不能確認哪些事？第一步應如何處理？

請先用自己的話回答三題，再逐題對照參考解答。參考解答是教學資料，不是學習者已提交的答案或已確認的理解紀錄。

參考解答：2. 課後第 1 題：這起事件可以有哪些分類？

這些概念可以同時成立：簡訊管道對應 Smishing，電話中的欺騙性誘導對應 Vishing，假扮銀行客服則是 Impersonation。它們分別描述管道與手法，不是互斥選項；整體仍屬於 Phishing 的範圍。

從目標角度看，題目明確鎖定公司財務主管，可描述為針對特定目標的 Spear Phishing。如果這位主管具有高階職位、重大付款決策權或其他高價值權限，還可能更精確地稱為 Whaling。不要只因「主管」兩字就補出題目沒有提供的職級或權限。

重點是分清楚「攻擊誰」與「冒充誰」。這裡被鎖定的是財務主管，冒充的是銀行客服；不是因為攻擊者用了某個顯得重要的身分，事件才算鯨釣。實際事件仍應先核對目標、內容與行為，再選擇有證據支持的分類。加拿大資安中心：社交工程

參考解答：3. 課後第 2 題：真 OTP 為什麼還可能幫助攻擊者？

驗證碼是真的，只能說明它來自真正的平台或符合驗證規則；不能替索取驗證碼的人證明身分。若攻擊者已掌握其他必要條件，又誘導使用者交出仍有效的碼，就可能把它提交給真正的平台，完成那次驗證。

但「取得碼」不等於「一定登入成功」。仍要看碼對應哪項操作、是否過期或已使用，以及裝置限制、額外驗證和其他條件是否成立。成功與否必須用實際紀錄確認，不能只憑這個機制示意推定。

這不代表 MFA 沒有用。不同因素能增加保護，例如只有密碼外洩時，額外因素可能阻止登入；問題在於不同驗證方式的抗釣魚能力不同。需要人手轉填的 OTP 或簡訊帶外驗證輸出，可能被誘騙轉交，不應當成抗釣魚驗證。正確實作的 FIDO2／WebAuthn 則利用密碼學綁定驗證對象。NIST SP 800-63B-4：抗釣魚能力

最後還要分開登入與授權：強化登入驗證，不會自動判斷每筆付款、每次資料交付都合理。仍需獨立核准與最小權限等其他控制。

參考解答：4. 課後第 3 題：可以下什麼結論，先做什麼？

依題目前提，員工已把 OTP 說出去，應視為驗證資訊暴露風險；通話紀錄則能支持有相應通話活動。若是在真實調查中，通話紀錄本身不一定證明說話內容，仍要區分使用者陳述、其他佐證與已核實事實。

目前不能直接認定未授權登入已成功、帳號已被完整控制，或教材資料已經外洩。還要查碼對應的操作、有效性、驗證與登入結果、操作者是否獲授權，以及後續存取、下載或傳輸範圍。

第一步不是等到證據全部齊全才處理，而是停止可疑互動，不再提供碼或核准要求，立即從既有正式服務台通報。由有權負責的人員依風險保護帳號、檢查或撤銷可疑工作階段、處理必要憑證，並保留相關訊息、時間與日誌；不要自行清除紀錄或再次測試可疑內容。

之後再交叉核對登入、裝置、權限變更、服務工單與資料活動。找不到異常紀錄不代表絕對安全，也可能是紀錄不完整。白話總結就是：風險可以先處置，成功入侵與外洩則要各自取得證據。加拿大資安中心：社交工程事件應變

圖形推理檢核｜追來源、追流向、守住證據邊界

只使用這些已知資料：小林收到警告簡訊及跟進電話；平台送來登入碼；小林回報已把碼念給來電者。目前沒有平台登入、操作或傳輸紀錄。圖 2、3 是可能機制，不是調查已證實的全貌。

1. 對照圖 2 與圖 5：若「查證電話」也是簡訊提供的，應留在哪個控制範圍？要改哪一段路徑，才能開始獨立查證？
2. 對照圖 3：請指出真碼從誰到誰、交碼從誰到誰，以及最後一條只能標為「嘗試」的箭頭。為什麼不能把它直接改成「登入成功」？
3. 對照圖 6：把目前可支持的事實、風險，以及仍是假設／未知的結論分開。若後來找到一筆成功登入，是否足以認定資料外流？還缺哪類證據？

先用箭頭、元件與證據說明理由，再展開參考解答。這是教學檢核，不會提交答案，也不記錄為已理解。

參考解答｜圖形推理

1. 仍在可疑來源的控制範圍，換成電話不會產生獨立來源。切斷「簡訊提供聯絡方式 → 回撥查證」這條依賴，先結束互動，再自行開啟先前已核實的官方 App／服務台。之後仍要核對身分、要求與授權。兩則訊息同源是合理待查假設，不是僅憑一致內容即可定案。

2. 真碼：真正平台 → 小林手機；暴露：小林 → 冒充來電者；最後是攻擊者 → 真正平台的嘗試提交。圖示提出一種可能機制，但本題尚無提交或登入紀錄；有效性、操作對應、其他驗證條件與實際結果都不能由「交出碼」直接推出。

3. 可支持的事實包括已收到簡訊、發生通話、收到平台碼，以及存在員工交碼回報；僅憑通話紀錄不能證明說話內容。交碼回報形成暴露風險，應立即走正式通報與適當風險處置。共同行動者、攻擊者登入、未授權操作與外流仍需查證。一筆成功登入只支持登入事件，還須核對操作者、時間與授權；外流需進一步核實資料內容、接收方、傳輸與範圍。不要因缺日誌而推定安全，也不要因需處置而推定已外洩。

最後把 M09-03 收斂成一個完整思考模式：

先確認對方透過什麼管道接觸你、聲稱具有什麼身分、要求取得什麼權限；接著離開可疑來源獨立查證；如果已經發生危險操作，就先控制風險，再以證據判定實際影響。

這套方法不只適用於假客服電話，也適用於假檢警、冒充主管、帳號復原詐騙，以及未來遇到的 AI 語音冒充攻擊。

下一課 M09-04 的 Pretexting（情境編造）、Baiting（誘餌）和 Tailgating（尾隨進入），將會進一步說明：攻擊者如何設計一個合理情境，讓你主動幫他跨過原本存在的安全界線。