教育部110下半年度電子郵件社交工程演練結果說明

教育部110下半年度電子郵件社交工程演練,本校受測人數為100名(含一、二級行政主管),未通過演練人員共15名,為了提高本校教職員工的資安意識,本中心將持續宣導資通安全的觀念外,對於未能通過教育部演練人員,將列為日後加強資通安全宣導及教育訓練的對象。將來這類性質的演練,教育部或行政院每年度會不定期地實施,因此,整理這次演練資料與結果,以及提供注意事項供本校使用者參考。

教育部為強化教育機構教職員對資安意識的落實與對社交工程等攻擊行為的資安警覺意識,於2021年9月14日至2021年10月31日期間進行電子郵件社交工程演練,藉由模擬駭客寄送各種誘騙信件的手法,測試教職員點選各類誘騙信件的比率。

測試信件摘要表

組別 信件類別 信件標題
Letter 1 金融財經 20檔人氣ETF這樣買!長線波段都可賺
Letter 2 養身健康 新冠疫苗6大廠牌種類比一比!
Letter 3 生活消費 購物節開跑!高價3C折扣多
Letter 4 網路趣味 海豹寶寶在地板扭動!!網笑像極了炸蝦
Letter 5 公務相關 消息通知:您有6封新電子郵件
Letter 6 生活消費 牌照稅扣繳異常通知
Letter 7 金融財經 紓困4.0懶人包整理
Letter 8 養身健康 疫苗混打行不行?效果更好 or 副作用更多?
Letter 9 生活消費 電信費帳款預期通知
Letter 10 旅遊休閒 韓國要開啟「旅遊泡泡」台灣列優先開放國家名單

測試定義

  1. 信件開啟:偵測受測者於收到警覺性測試信件後,預覽或開啟信件圖片或內容,因而被記錄者。
  2. 連結點選:偵測受測者於收到警覺性測試信件後,開啟信件並連結到信件中之URL或開啟附檔連結網址或附檔,因而被記錄者。

結果分析摘要

  1. 開啟信件類別分析:以「電信費帳款逾期通知」最多,有 5 人開啟。
  2. 點擊信件連結作分析:以「電信費帳款逾期通知」最多,有 6 人點擊連結或開啟附件。

教育部通知這次測試結果,本校共抽100人受測,開啟信件率 7%。

一級單位 開啟信件

單位 人數 單位 人數
全球事務處 2 人文社會學院 1
秘書室 1 圖書館 1
計算機與通訊中心 1 電機資訊學院 1

教育部通知這次測試結果,本校共抽100人受測,點選連結率 5%。

一級單位 點選連結

單位 人數 單位 人數
電機資訊學院 1 總務處 1
教務處 1 秘書室 1
工學院 1

教育部通知這次測試結果,本校共抽100人受測, 5%。

一級單位 開啟附檔

單位 人數 單位 人數
總務處 2 原子科學院 1
秘書室 1 工學院 1

電子郵件社交工程型攻擊的目的在於誘騙收信者提供個人資料(如:帳號、密碼),或引誘收信者透過下載方式來執行以圖片、連結、夾檔所偽裝的惡意軟體(malware),讓電腦中毒成為入侵者所控制的殭屍網路電腦(botnet)。

由於這類的攻擊,如:下載圖片、點選連結,實際惡意軟體的資料是由使用者電腦直接向提供者下載取得,並不會經過郵件伺服器的防毒機制,即使過濾夾檔也有零日病毒(zero-day virus)的問題,在郵件伺服器端僅能過濾已知的病毒,因此,最佳防範這類社交工程型態攻擊的方法,就是使用者要有資安警覺,收到電子郵件時,注意下列幾件事:

  1. 不要開啟不明信件:開啟信件前,務必先檢視寄件者資料,如有疑問,千萬不要開啟。最好設定郵件軟體安全性為「不要自動下載圖片」,以免不小心按到開啟信件時,會自動下載到有問題的檔案,而讓電腦產生安全漏洞。
  2. 不點擊不明信件內的連結
  3. 不開啟不明信件的夾檔