勒索軟體犯罪產業化 微軟研究：政府、企業少做2事遭攻擊風險高

微軟。美聯社

微軟發佈第二期《Cyber Signals》網路威脅情報研究報告，指出「勒索軟體即服務（RaaS）」崛起、已成爲新商業模式。犯罪份子只要付費，即可隨時佈署勒索軟體並發動攻擊，降低勒索軟體攻擊的技術門檻並擴大攻擊範圍。

微軟分析發現，超過80%勒索軟體攻擊肇因於軟體及裝置設定錯誤，大多數政府及企業仍僅以帳號密碼做爲單一的身份驗證，此舉將因勒索軟體經濟崛起提高遭攻擊風險，政府及企業應儘快佈署零信任資安架構並導入多因素身分驗證，以有效抵禦勒索軟體的攻擊。

《Cyber Signals》指出，勒索軟體已經演變成網路犯罪經濟。網路犯罪經濟的專業化和整合推動了 RaaS 的發展，成爲一種有主導地位的商業模式，賦予更多的犯罪份子佈署勒索軟體攻擊的能力，例如讓網路犯罪份子得以購買勒索軟體負載與數據泄漏，以及支付勒索軟體基礎架構的存取權。勒索軟體犯罪團體實際上是像許多不同攻擊者使用的Conti或Revil這樣的RaaS程式，攻擊者在RaaS程式和負載之間切換。網路犯罪產業化，甚至創造出靠販賣網路存取許可權獲利的存取經紀人的專業角色。

微軟旗下的數位犯罪部門從2021年7月至2022年6月，共移除超過531,000 個釣魚網站連結和5,400個釣魚網站工具包，辨識並關閉超過1,400個用於蒐集被盜客戶憑證的惡意電子郵件帳戶。一旦成爲網路釣魚電子郵件的受害者，攻擊者存取受害者私人資料所需時間的中位數爲1小時12分鐘。若裝置遭受攻擊威脅，攻擊者開始在企業網路內橫向移動所需的時間中位數爲1小時42分鐘。