• 發布單位:TWCERT/CC
• 更新日期:2025-01-24
• 點閱次數:3240

國家資通安全研究院(NICS)近期發現攻擊者偽冒財政部名義，透過電子郵件發動社交工程攻擊。這些郵件以“稅務調查”為由，誘使收件者開啟並下載帶有惡意程式碼的附件。此類攻擊手段可能對企業與個人造成嚴重的資料外洩與系統入侵風險。

根據國家資通安全研究院的分析，攻擊者透過偽裝成財政部或地方稅務機關的身份，發送涉及稅務事宜的電子郵件。若收件者下載並執行郵件中的附件，則可能會觸發木馬程式，可能導致企業機密資料外洩或系統遭駭侵。

已知攻擊郵件特徵如下：

1. 駭客寄送之主旨：

「稅稽徵機關調查通知」、

「稅務抽查涉稅企業名單」

2. 惡意附檔名稱：

「稅務涉稅企業.pdf」、

「查閱1140120.zip」、

「稅務抽查涉稅企業名單.pdf」、

「涉稅企業名單.zip」

3. 相關惡意中繼站:

206[.]238[.]221[.]240、

9010[.]360sdgg[.]com、

rgghrt1140120-1336065333[.]cos[.]ap-guangzhou[.]myqcloud[.]com、

fuued5-1329400280[.]cos[.]ap-guangzhou[.]myqcloud[.]com、

6-1321729461[.]cos[.]ap-guangzhou[.]myqcloud[.]com、

00-1321729461[.]cos[.]ap-guangzhou[.]myqcloud[.]com

註：相關網域名稱為避免誤點觸發連線，故以「[.]」區隔。

此外，TWCERT/CC近期亦接獲相關資安情資，並將與國家資通安全研究院一同密切追蹤此類攻擊活動。TWCERT/CC提醒企業與民眾保持高度警覺，特別是在收到疑似來自官方電子郵件時，應格外謹慎，以避免成為攻擊目標。。

防護措施建議：

1.網路管理人員請參考受駭偵測指標，確實更新防火牆，阻擋惡意中繼站。

2.建議留意可疑電子郵件，注意郵件來源正確性，勿開啟不明來源之郵件與相關附檔。

3.安裝防毒軟體並更新至最新病毒碼，開啟檔案前使用防毒軟體掃描郵件附檔，並確認附檔檔案類型，若發現檔案名稱中存在異常字元(如lnk, rcs, exe, moc等可執行檔案附檔名的逆排序)，請提高警覺。

4.加強內部宣導，提升人員資安意識，以防範駭客利用電子郵件進行社交工程攻擊。