今天又有客戶差一點被騙，把要付給國外的貨款轉到駭客的帳戶。
之前發表過一篇
如何偽造 Email，騙取廠商貨款
主要是介紹如何透過字典攻擊，取得帳號密碼，神不知鬼不覺的竊取信件，再偽造 email 騙取貨款。有興趣的請自行參考。
之前的文章中也有簡略的提到另一種攔截 web mail 的方式，這次我們就針對 Web Mail 的詐騙方式做進一步的說明。
同樣的，閱讀以下內容之前，請先發誓：
***************************************************
如果看了以下內容之後，利用文章所教的技巧進行詐騙行為，
男的 GG 爛掉，女的奶奶爆掉。
***************************************************
以下的方法適用於所有 Web Mail 系統，包括免費信箱或 ISP 所附贈的信箱。
以下將分成三個部分說明
1. 詐騙流程
2. 電子郵件 SMTP 的必要瑕疵
3. 如何防治
============ 詐騙流程 ===============
【情境一】取得收款人 Web Mail 的帳號密碼
1. 小偷登入收款人的 Web Mail
2. 小偷設定轉寄規則，將特定條件的信件轉寄到小偷的信箱
3. 收款人寄出對帳單給付款人。因為轉寄規則，小偷收到信件。
4. 小偷偽造 Email 通知付款人變更匯款帳號。
【情境二】取得付款人 Web Mail 的帳號密碼
1. 小偷登入付款人的 Web Mail
2. 小偷設定轉寄規則，將特定條件的信件轉寄到小偷的信箱
3. 收款人寄出對帳單給付款人。因為轉寄規則，付款人收不到信，由小偷收走。
4. 小偷偽造對帳單 Email 通知付款人，並變更匯款帳號。
看完以上的流程，各位是不是發現，當發生詐騙的時候，不一定是誰被駭，所以應該先釐清問題，保留證據，而不是先指責對方。
接下來則是要了解，詐騙者如何寄出冒名信件。
這個就是後續要說明的電子郵件 SMTP 的必要瑕疵。
=========== 電子郵件 SMTP 的必要瑕疵 =============
依據 SMTP 通訊規範，寄件人的郵件地址(MAIL FROM指令)和登入伺服器的帳號(AUTH 指令)是不需要一樣的。
顯示名稱、Email Address、登入帳號，這是三個不同的東西。
寄件人的 Email Address 、顯示名稱這是可以隨便填的，真正決定能不能透過 mail server 寄信的是登入帳號。
就像您去郵局寄信，只要貼了郵票，他才不管你寄件人寫誰。
以 Outlook 為例，當您設定一個新的帳號的時候，您必須輸入顯示名稱，或是俗稱的【暱稱】，底下還有一個欄位是 Email Address，接下來則是登入帳號(POP3 用的)，在進階設定則可以設定 SMTP 外寄的登入帳號，一般的 ISP 則大多使用 IP 驗證，所以這個地方不用填。簡單的說，依據 SMTP 的規範，登入帳號、顯示名稱、Email Address 三個是不一樣的，否則收信軟體有提供一個欄位就好，沒必要開三個欄位。
例如，您用 Hinet 的線路，外寄郵件伺服器使用 msa.hinet.net 等郵件主機，您是不需要驗證就可以寄信的，所以您的寄件人寫誰有差嗎？
所以不要再認為寄偽造 Email 是多高深的技術了！
=========== 如何防治 =============
【行政流程】
1. 變更帳款方式還是以書面為準，小弟公司和各大廠合作都是這樣，不會簡單的 Email 去變更。
2. 任何變更一律是下期貨款才適用，收到對帳單的時候，不會再確認一次嗎。
3. 就算要簡化流程，電話，或是 Email 的雙重確認，應該花不了多少時間。
【Web Mail】
1. 強化密碼強度。
2. 不要使用公用電腦登入。
3. 不要忽略漏信問題，不正常漏信，就要注意是不是被設了規則。
※ 以上的方法適用於所有 Web Mail 系統，包括免費信箱或 ISP 所附贈的信箱。
※ ISP 附的免費信箱，其實沒什麼在維護的，真的需要，還是購買付費信箱吧。
※ Web Mail 的功能太強不見得是好事，很多人是被駭了才知道原來可以設定規則。
從 APP 打開
X