（吉隆坡14日讯）全球网络安全公司卡巴斯基（Kaspersky）指出，该公司近日侦测到有人利用亚马逊云邮件服务（SES），进行网络钓鱼与商业电邮骗局（BEC），提醒用户对任何来历不明邮件保持高度警惕。
该公司今日发文告说，云邮件服务原是供企业和开发者，大量发送与接收营销邮件、通知邮件及交易邮件所使用。
由于邮件是透过可信任平台发送，具信誉良好IP地址并带上合法“amazonses.com” 标识，使得钓鱼邮件在技术层面上，几乎与官方邮件无异，难以区分。
卡巴斯基指出，这类攻击主要源于亚马逊网络服务（AWS）账号凭证被盗取或外泄。骇客借助自动化工具，识别来自公开代码库、配置错误的云端储存等，获取合法密钥并用其发送大量恶意邮件。
“骇客还会利用重定向技术，透过受信任域名隐藏恶意链接，并制作高度逼真HTML邮件模板；部分钓鱼网页甚至托管看似合法的AWS基础设施，进一步提高盗取用户账号风险。
“我们过去曾看到骇客滥用受信任平台，透过@google.com等合法域名发送钓鱼链接，绕过邮件过滤系统，获得用户信任。
“滥用SES服务者则进入更高阶段，他们直接入侵云端凭证，获取受信任邮件发送基础设施控制权，大规模发送与真实商讯真假难辨的钓鱼邮件。”
卡巴斯基提醒，企业组织应加强AWS访问安全设置，减少权限配置、改用临时凭证机制、启动多重身分验证，及限制访问来源和定期轮换与审计凭证。
个人用户则需时刻注意邮件真实性，切勿因寄件者名称和域名看似可信，就轻信电子邮件。
