網址沒錯還是被騙？新型釣魚「同形字掉包」肉眼難辨　專家教4招自保

圖、文／CTWANT

網路詐騙手法持續翻新，過去常見的錯字、簡體字或怪異網址已不再是唯一的辨識標準。近期一種被稱為「同形異義字攻擊」（Homoglyph Attack）的社交工程詐騙手段日益猖獗，詐騙集團利用希臘字母、西里爾字母或日文假名等外國字元，替換掉英文字母中極為相似的字元，打造出肉眼幾乎無法分辨的假網址與假電子郵件地址。這類攻擊主要利用人性急躁與焦慮的心理盲點，誘導受害人在慌亂中點擊連結並輸入帳密或一次性驗證碼（OTP），進而竊取敏感資產。

根據《The Guardian》報導，網路安全公司ESET全球安全顧問傑克·摩爾（Jake Moore）指出，詐騙集團極度喜歡冒用像微軟（Microsoft）這類知名大企業的身份。例如在字元替換中，將拉丁字母「c」替換為外觀完全相同的西里爾字母「с」，就能打造出外表毫無瑕疵的假網址「miсrosoft.com」。此外，過去防毒軟體主要針對惡意下載附件進行掃描，導致惡意檔案容易被攔截，因此犯罪分子轉向設計看起來極度逼真的連結，誘騙使用者放鬆警惕並主動點擊。

NordVPN首席技術官瑪里尤斯布里迪斯（Marijus Briedis）則分析，同形異義字攻擊本質上更多是一種心理學技巧，而非複雜的技術戰。詐騙集團通常會寄發極具緊迫感的通知，營造出帳戶即將凍結或異常登入的恐慌氛圍。當人們處於焦慮與匆忙之中時，大腦會自動充填期待看到的內容，導致忽略了網址中的細微差異，這短暫的幾秒鐘決策往往成為整體資訊安全防線中最脆弱的一環。

專家建議，要避免落入同形異義字攻擊的陷阱，民眾可採取以下防禦措施：

1. 切勿直接點擊連結：若收到任何要求登入帳戶的簡訊、通訊軟體訊息或電子郵件，應手動在瀏覽器輸入已知正確的正版網址，而非點擊附帶連結。
2. 手動輸入郵件地址：回覆重要電子郵件時，請手動輸入熟悉的正確地址，避免點擊郵件內文提供的信箱連結。
3. 保持瀏覽器更新：新版瀏覽器能更敏銳地識別並攔截異常字元與惡意網站。
4. 全面啟用雙重驗證（2FA/MFA）：為帳戶建立第二道安全防線，即使密碼不慎外洩，也能防止歹徒直接登入。若不幸發現個人資料已遭到洩漏，應立即更換密碼並向銀行與相關執法單位通報。

延伸閱讀

• 高鐵票省錢密技曝光！3類人半價　通勤49折搭到飽
• 真的忍不住！外國男與泰妹後座火辣熱戰　泰國司機慘當「現場觀眾」
• 大口啃蘋果竟出事！她下巴「喀」一聲脫臼　咬著蘋果直奔醫院求助