你收到一封「銀行安全通知」，要求你在 24 小時內點擊連結更新帳戶資料，否則帳戶將被凍結。這是典型的網路釣魚（Phishing）攻擊。根據 2025 年 FBI 網路犯罪報告，釣魚攻擊連續多年是網路犯罪中損失最大的類別，全球每年造成超過 35 億美元的損失。本文帶你全面了解釣魚攻擊的手法、識別技巧和防護策略。
一、什麼是網路釣魚？
網路釣魚（Phishing）指攻擊者偽裝成可信任的機構或個人，透過各種管道誘騙目標提供敏感資訊（帳號密碼、信用卡、身份證號碼）或執行惡意操作（匯款、安裝惡意軟體）。
依照攻擊管道和目標，釣魚攻擊主要分為：
| 類型 | 說明 | 常見偽裝對象 |
|---|---|---|
| Email 釣魚 | 大量發送偽造電子郵件 | 銀行、PayPal、Netflix、政府機關 |
| Spear Phishing（魚叉攻擊） | 針對特定個人或企業的精準攻擊，內容高度客製化 | 企業高管、特定機構員工 |
| Smishing（簡訊釣魚） | 透過 SMS 傳送假冒連結 | 郵遞公司、銀行、政府通知 |
| Vishing（語音釣魚） | 電話冒充客服或機關人員 | 銀行客服、健保局、警察局 |
| Quishing（QR Code 釣魚） | 偽造 QR Code 導向釣魚網站 | 停車繳費、餐廳菜單、廣告海報 |
二、2024-2026 年重大釣魚事件
台灣「健保 App 更新」簡訊詐騙
攻擊者仿造衛福部健保署發送大量簡訊，聲稱「健保 App 需要更新，請點選連結下載」。受害者下載後，手機被安裝側載惡意 App，導致網銀帳戶遭盜轉。
企業 BEC 攻擊（商業 Email 詐騙）
攻擊者以魚叉攻擊方式，取得企業採購人員的信任後，偽造供應商的 Email 要求更換匯款帳戶。此類攻擊在亞太地區企業損失持續攀升，單起案件損失可達數千萬。
AI 客服冒充釣魚
2025 年開始出現以 AI 語音機器人進行 Vishing 的案例——攻擊者用 AI 合成客服人員的聲音，「協助」受害者「解除」帳戶問題，實際上是誘導對方提供一次性密碼（OTP）。
三、如何識別假冒 URL
假冒網址是釣魚攻擊的核心武器。攻擊者常用以下手法製造看似可信的 URL：
同形文字攻擊（Homograph Attack）
使用外觀相似的 Unicode 字元替換字母。例如：
paypa1.com（數字 1 取代字母 l）аpple.com（西里爾字母 а 取代拉丁 a）g00gle.com（數字 00 取代字母 oo）
子域名誤導
域名的關鍵部分在最後一個 . 之前，而非最前面。例如：
secure.bank.com.tw→ 真實域名是bank.com.tw（安全）bank.com.tw.secure-login.net→ 真實域名是secure-login.net（釣魚！）
URL 編碼混淆
攻擊者有時用百分比編碼（URL Encoding）混淆域名，讓 URL 看起來像亂碼而難以辨識。例如 %70%61%79%70%61%6C.com 其實就是 paypal.com 的編碼形式——但真正的釣魚攻擊通常是把正常的安全 URL 混在大量編碼字元中掩護。
縮網址掩護
短網址可以完全隱藏真實目的地。收到短網址時，可以在短網址後加上 +（如 bit.ly/xxxxx+）預覽真實目的地，或使用 CheckShortURL 等服務展開短網址後再決定是否點擊。
四、社交工程的心理操控手法
釣魚攻擊之所以有效，不只是技術問題，更是心理操控。攻擊者利用以下心理機制降低受害者的判斷能力：
| 手法 | 說明 | 識別關鍵 |
|---|---|---|
| 緊迫感 | 「您的帳戶將在 2 小時後凍結」「限時 24 小時核實」 | 真正的銀行不會用極端時限施壓 |
| 恐懼 | 「您的帳戶偵測到可疑交易」「您涉嫌洗錢，請配合調查」 | 政府機關不透過電話要求轉帳 |
| 權威感 | 冒充銀行、稅務局、警察局、大型科技公司 | 用官方管道（官網、官方 App）確認 |
| 貪心 | 「您中獎了」「您有未領取的退稅」 | 天下沒有白吃的午餐 |
| 信任感 | Spear Phishing 中使用受害者的姓名、職位、近期事件 | 個人化不代表對方合法，仍要驗證管道 |
五、如何驗證一封可疑郵件
檢查寄件者域名
寄件者顯示名稱可以偽造，真正重要的是 @ 後面的域名：
[email protected]→ 真實 PayPal（@ 後是官方域名）[email protected]→ 釣魚（域名不是 paypal.com）
不要點，先滑過去
在 PC 上，把滑鼠移到連結上（不要點擊），查看瀏覽器左下角顯示的真實 URL。手機上長按連結也可以預覽目標 URL。
直接去官方網站
不要點信中的連結，直接在瀏覽器輸入你知道的官方網址，或從書籤進入。所有真正緊急的帳戶問題在官方 App 或官網登入後都能查到。
六、釣魚攻擊的技術防護層
個人帳戶安全
- 啟用雙因素驗證（2FA）：即使密碼洩露，攻擊者仍需第二個驗證因素。優先選擇 TOTP 驗證器 App，而非 SMS（因為 SMS 可被 SIM 卡劫持攻擊繞過）
- 使用密碼管理器：密碼管理器只會在正確的域名上自動填入密碼，如果你進了釣魚網站，密碼管理器不會填入你的帳密，是識別釣魚網站的額外保護
- 每個帳號使用不同密碼：防止一個帳號洩露導致連鎖攻擊
企業郵件防護
- SPF / DKIM / DMARC：設定郵件驗證紀錄，防止攻擊者偽造你的域名發信
- 員工釣魚意識訓練：定期進行模擬釣魚測試（Phishing Simulation），讓員工在低風險環境下累積識別經驗
- 財務匯款雙重授權：任何修改匯款帳戶的請求，必須透過電話或面對面方式確認
七、如果你已經點了可疑連結，怎麼辦？
- 不要輸入任何資料：只是點了連結不一定會被盜——真正的損失在於你輸入了什麼
- 立即關閉分頁：如果頁面要求安裝插件或下載檔案，直接關閉，不要同意任何安裝請求
- 掃描惡意軟體：如果已下載任何檔案，用防毒軟體掃描
- 更改相關帳號密碼：如果你輸入了密碼，立即更改，並檢查是否有其他使用相同密碼的帳號
- 通知相關機構：如果是銀行相關，立即致電客服掛失或凍結
總結
- 釣魚攻擊結合假冒 URL、緊迫感心理操控和可信外觀，是目前損失最大的網路犯罪類型
- 識別 URL：注意真實域名位置（最後一個 . 之前）、同形文字替換、縮網址掩護
- 驗證郵件：看 @ 後的域名，不要點連結，直接去官網
- 技術防護：啟用 2FA、使用密碼管理器、每個帳號不同密碼
- 已點擊可疑連結：不輸入資料、關閉分頁、掃毒、更改密碼