【資安專欄】電子郵件安全性問題
撰文＼電算中心資訊網路組 張力允組長
更新日期:2024-09-30 Monday
點閱次數:1513
電子郵件是在資訊普及化後，一個被大量使用的資訊服務，也正因如此，電子郵件系統一直都是駭客主要攻擊的目標，自從2023年下半至今，就有許多耳熟能詳的電子郵件系統及電子郵件過濾系統遭受駭客攻擊，如：微軟Outlook Web Access in Exchange Online(OWA)、Outlook.com(屬HPE、歐美政府)、Zimbra(開放原碼電子郵件系統)、Barracuda(電子郵件過濾系統)及Cisco郵件安全閘道系統，都曾經被駭客攻擊過。
電子郵件安全性一直都是組織主要的防禦重點，根據統計，網路上的路攻擊行為，有 94%會先發送惡意電子郵件，原因很簡單，因為電子郵件是最容易通往組織內部及重要裝置的入口點，駭客會以不同類型的電子郵件攻擊方式，將惡意電子郵件寄送到員工的信箱內，像是寄送垃圾郵件、社交工程郵件、廣告郵件等，駭客的目的很簡單，只要等待員工一次誤導的點擊，就能讓駭客找到破口點，進而讓整個組織陷入安全危機。
電子郵件系統已經是現在工作領域中不可或缺的工具，如何讓電子郵件系統相對安全的提供服務，一直是組織不斷努力的方向，要讓電子郵件系統運作穩定且安全，有兩個主要方向可以努力，一個是電子郵件系統供應商；另一個是進行組織內部電子郵件防禦，先從電子郵件系統供應商談起，應要有能力可以找出自己研發的電子郵件系統是否含有漏洞，如果有發現漏洞，應該盡快通知客戶群，將系統進行更新動作，另外，身處於電子郵件系統開發商，若本身有使用軟、硬體開發元件，如：PHP、Java這些類似的開發工具，或許也會潛在有弱點，駭客可能透過這些第三方元件漏洞，入侵到供應商內部，最後而得以侵入企業IT環境，所以電子郵件系統供應商，也必須時時注意開發套件的更新及弱點修補。
至於組織內部電子郵件防禦，組織可以導入電子郵件過濾防禦設備，透過設備自動化過濾機制，將大量垃圾郵件、惡意郵件進行阻擋，這可減少使用者因收到惡意由漸進而誤觸的風險，另外很重要的一點，定期對員工上電子郵件使用安全之訓練課程，讓員工理解電子郵件安全性的重要性，降低人為錯誤的問題。
Reference:
https://www.ithome.com.tw/news/1651223
https://www.microsoft.com/zh-tw/security/business/security-101/what-is-email-security
