資安術語解析——釣魚家族圖譜:釣魚、標靶式釣魚、鯨魚式釣魚、BEC、VEC、Quishing

「釣魚(Phishing)」常被當作一個籠統的用詞,但其下的術語各自指涉著意義上截然不同的攻擊。理解這個家族的一個有用方式是:目標越窄,酬載就越淡薄,由信任取而代之。

從廣泛到精準

• 釣魚(Phishing) — 最廣泛的用詞。不分對象、大量撒出的誘餌:假的登入頁面、假的物流通知、假的請款單。投入的心力少,單一目標的成功率低,但數量極為龐大。
• 標靶式釣魚(Spear Phishing) — 針對性釣魚攻擊。利用真實資訊(職稱、專案、近期事件),為特定人物或團隊量身打造訊息,說服力遠勝大量撒網的誘餌。
• 鯨魚式釣魚(Whaling) — 專門瞄準「大魚」的標靶式釣魚,鎖定高階主管等權限龐大的目標,一次成功就價值不菲。
• BEC(商業郵件詐騙, Business Email Compromise) — 冒充受信任的對象(高階主管、供應商)以誘導業務行為的詐騙,例如匯款、變更帳戶資訊、購買禮品卡。經常完全沒有連結或附件,攻擊靠的是語言與權威。
• VEC(供應商郵件詐騙, Vendor Email Compromise) — BEC 中格外尖銳的一個亞種。攻擊者從真實供應商真正遭盜用的信箱,在真實的對話串中發送郵件。由於沒有任何東西被偽造,認證會通過。(我們在週報 #4 中討論過這個主題。)
• Quishing(QR 釣魚) — 以 QR code 圖片傳遞連結的釣魚攻擊,繞過 URL 掃描器,並把點擊行為轉移到個人手機上。(週報 #2。)

值得認識的近親還有:簡訊釣魚(smishing)——透過簡訊(SMS)進行的釣魚;語音釣魚(vishing)——語音釣魚,如今越來越常使用 AI 複製的聲音。

貫穿整個家族的模式

由上而下讀下來,有一個趨勢十分清楚:攻擊越精準,**技術指標就越少。**大量釣魚郵件還有惡意連結與可疑附件可以抓。到了 BEC 與 VEC,幾乎沒有東西可供掃描——只剩下真實對話中,一個看似值得信賴的請求。

這正是偵測必須從比對酬載,轉向調查脈絡的原因。這個家族中造成最大傷害的成員,恰恰是可供比對的東西最少的成員。

---

不確定一封可疑郵件屬於哪一個分支?把它放進分析主控台,閱讀各代理人的分析結果。