什麼是語音釣魚（voice phishing）？

語音釣魚是一種社交工程攻擊手法，攻擊者透過語音通話，冒充合法身分（例如IT協助台人員），誘騙受害者提供敏感資訊、重置密碼或註冊惡意設備，藉此獲取系統存取權限。

語音釣魚為何成為企業資安的新挑戰？

語音釣魚的互動性使其更具欺騙性，攻擊者能利用IT協助台的服務性質，透過操控對話來達成惡意目的。尤其在雲端環境中，它已成為最常用的攻擊策略，對企業構成新的威脅。

企業應如何應對快速演變的網路攻擊？

企業必須提升防禦反應速度至「機器速度」，加強員工資安意識培訓，全面部署多因素身分驗證（MFA），並對所有資安事件進行仔細分析，以防止低影響事件迅速轉變為高影響事件。

2025企業資安警訊：語音釣魚攻陷IT協助，成雲端環境第二大入侵手法

根據 Google Cloud 旗下 Mandiant 顧問部門的最新報告指出，社交工程攻擊在 2025 年將顯著攀升，其中「語音釣魚（voice phishing）」更躍升為網路犯罪分子獲取初始存取權限的第二大途徑，尤其在雲端環境中，它已成為最常被利用的攻擊策略。這項趨勢對企業資安防禦構成嚴峻挑戰，提醒各界必須重新評估現有的安全措施。

語音釣魚崛起：互動式社交工程的資安威脅

數據顯示，語音釣魚預計在 2025 年將佔所有攻擊案例的 11%，凸顯了這種互動式社交工程手法的巨大殺傷力。這種攻擊模式不再是單向的電子郵件詐騙，而是透過直接的語音通話，巧妙地操弄企業的 IT 協助台，進而達成惡意目的。

Mandiant 副總裁 Jurgen Kutscher 強調：「這些攻擊者利用語音通話來操控 IT 協助台，試圖註冊攻擊者控制的設備以進行多因素身分驗證（MFA），並重置密碼。」

這類攻擊的成功率之所以高，正是因為 IT 協助台的本質就是提供協助，其工作人員往往難以在短時間內辨識出偽裝精巧的詐騙行為。語音釣魚就像是資安界的「變聲龍」，透過人聲的溫度與互動，讓受害者卸下心防，使其成為企業資安防護鏈中最脆弱的一環。

攻擊手法演進：從ClickFix到零日漏洞的潛伏戰

除了日益猖獗的語音釣魚，報告也揭露了其他多樣化的社交工程攻擊手法，例如被稱為「ClickFix」的攻擊，攻擊者透過欺騙使用者執行惡意指令來取得系統控制權。Google 的威脅情報部門已記錄到許多犯罪集團運用此技術，這表明網路攻擊者在創造性和策略上都越來越成熟，手法也更加多元且難以預防。

有趣的是，某些攻擊者在取得初始存取權限後，會選擇長時間潛伏在受害者的網路環境中，有時甚至長達數百天而不被察覺。這些「潛伏者」特別偏好鎖定邊緣設備，如防火牆和路由器，並利用其零日漏洞進行攻擊，因為這些設備往往缺乏端點安全產品的保護，成為防禦盲區。

攻擊生命週期加速：企業防禦必須提升至機器速度

Mandiant 的報告中還有一個關鍵發現：許多攻擊者在獲得初始存取權限後，會以驚人的速度將此權限轉交給其他威脅團體，通常在 30 秒內即可完成。這種「閃電戰」般的快速轉手時間，意味著防禦者必須以機器般的速度來運作，才能在攻擊的生命週期結束前做出反應。

Google 的報告嚴正提醒企業：「低影響事件可能在幾秒鐘內轉變為高影響事件，因此必須對所有事件進行仔細分析，以防止潛在的災難性後果。」

這不僅考驗著企業資安團隊的反應速度，更凸顯了自動化資安監控與即時應變機制的重要性。面對如此快速且複雜的攻擊，傳統的人工審核與回應模式顯然已無法有效應對。

數據背後的啟示：資安防禦新思維

總體而言，Google Cloud Mandiant 的報告為 2025 年的企業資安環境描繪了一幅清晰卻充滿挑戰的藍圖。語音釣魚的興起，加上攻擊者快速轉手存取權限的策略，都要求企業必須從根本上重新思考其資安防禦策略。這不僅僅是技術層面的升級，更包含對員工資安意識的培訓、多因素身分驗證（MFA）的全面部署，以及對所有潛在資安事件的仔細分析。唯有將防禦措施提升至與攻擊速度同步的水平，企業才能在這場持續演進的資安戰役中，有效保護其核心資產。