黑客入侵企業電郵系統後竊取資料 冒外國供應商騙取7600萬元

企業運作數碼化已成趨勢，疫情下在家登入公司電腦系統工作亦甚普遍，騙徒紛紛利用當中網絡安全漏洞設局詐財，有黑客以釣魚電郵入侵一間企業電郵系統後，首先竊取商業交易資料，繼而冒認其外國供應商，並以電郵發送附有「副總裁」簽名的文件，聲稱更改了收款戶口，甚至通話進行「確認」，最終騙取貨款高達7600萬元。警方為宣傳防範電郵騙案，首度與香港總商會合辦「釣魚電郵演習」，發現近7成參與的公司有員工打開釣魚電郵的連結或附件，顯示網絡安全意識亟待提升。

釣魚電郵騙案日益猖獗，警方商界合辦防「釣」演習。警方今年首季接獲145宗個案，損失4億8280萬元，佔整體科技罪案6成，平均每宗案件損失高達330萬元，較去年同期下跌37%。雖然錄得跌幅，香港電腦保安事故協調中心的報告卻顯示，本港網絡釣魚攻擊由前年的2587宗，上升至去年3483宗，急增三成半，可見電郵騙案充斥網絡。

警方網絡安全及科技罪案調查科網絡安全組警司范俊業日前在記者會表示，不法分子以黑客技術或網絡釣魚攻擊等方式入侵目標公司的電郵系統，窺視該公司與合作夥伴的電郵，了解當中溝通內容及字語文法，繼而假冒公司高層或商業伙伴發出電郵，聲稱更改了銀行帳戶，要求匯款至旗下傀儡開設的戶口，例如前年12月至去年1月，有騙徒假冒與銀行達成借貸協議的商業夥伴，五度發電郵予一間日本銀行的美國分行職員，要求將3億1400萬港元存入5個本港傀儡戶口，為去年單一最大損失的電郵騙案。

范續稱，近期有上海汽車零件公司報案，指有人假冒其美國供應商發出電郵，稱基於匯率原因更改交易戶口，更發出冒認供應商副總裁簽署的文件，並且通話「確認」身分，受害公司人員深信不疑，去年10月至今年1月七度匯款共980萬美元(約7600萬港元)至騙徒指定的香港銀行戶口，其後騙徒繼續冒充供應商發短訊，催促支付更多款項，公司人員於是致電供應商了解，此刻才得悉受騙，「企業收到電郵，如果及早致電合作伙伴核實，應可避免損失。」

黑客往往漁翁撒網，發放載有惡意連結或附件的釣魚電郵，范指出點擊前者會進入企圖騙取網上銀行帳戶密碼等資料的虛假網站，後者可能附有惡意感染程式，同一網絡的電腦裝置有機會遭入侵。

網絡安全組總督察葉卓譽不諱言，近兩年加密勒索軟件（Ransomware）的相關罪案大幅增加，黑客會發送藏有惡意程式的電郵，當有人不慎按入連結或下載附件，其電腦會被植入程式，公司文件遭全數加密，繼而被勒索贖款，以換取破解文件的「鑰匙」，外國更有多重勒索個案，黑客會以公開或出售受害公司敏感資料作要脅，並且勒索該公司的客戶。

本港商界近月亦曾遭遇相關勒索，香港總商會數碼、資訊及電訊委員會副主席黃玉娟表示，有採取居家工作安排的公司，因員工個人電腦不幸被植入加密勒索軟件，導致載有公司檔案的伺服器被加密，尚幸公司遭受勒索後沒有繳款，加上一直有備份資料的習慣，未有全數遺失資料。

為提高公眾對釣魚電郵的認識，警方早前首度與香港總商會合辦「釣魚電郵演習」，邀請了46間來自銀行、金融、交通、物流、電訊、醫療及能源業的企業參加，合共1388名員工會在一個月內收到6封不同主題的模擬釣魚電郵，內容包括雲端文件分享、疫苗接種計畫及稅務退還等，結果7成公司有至少一名員工打開電郵的連結或附件，「中招」人數共169人，顯示網絡安全意識有待加強，銀行和金融業界員工則最為機警。