網釣太猖獗！假冒的美國郵局網站流量相當或勝過真實網站

因為員工收到了來自美國郵局（United States Postal Service，USPS）的詐騙簡訊，促使資安業者Akamai對此展開調查，發現自2023年10月到2024年2月間，用戶的DNS查詢量只有51%導向正確的USPS網站（www.usps.com），另有49%都導向了網路釣魚網站，而且在特定的節日前後，這些網釣網站的DNS查詢量都大幅勝過真實的USPS。

調查顯示，仿冒USPS官網的網釣網址通常屬於搶註的組合網址（Combosquatting），亦即在這些網址中嵌入了USPS的名稱，Akamai篩選了那些使用明顯USPS字樣的網釣網址，顯示全球最少被註冊了超過68萬個假冒為USPS的網釣網站，當中有逾27萬個使用.com，也有27萬個使用.top，另有5.8萬個採用.shop，3萬個使用.xyz，還有1.6萬個是.org。

圖片來源／Akamai

而引來最多流量的前四個USPS網釣網站則是usps-post[.]world 、uspspost[.]me、usps-postoffices[.]top與stamps-usps[.]online。

Akamai在這5個月追蹤了USPS官網以及眾多網釣網站的流量，發現網釣網站在平日的流量可能略低於USPS官網，但只要一到假日或送禮高峰期，例如感恩節或聖誕假期，網釣網站的流量就會大幅超越真實的USPS網站，因為駭客企圖利用此一人們與郵政都非常繁忙的季節來執行詐騙。

在Akamai員工收到的詐騙簡訊中寫著：「其USPS包裏已經送到倉庫，但因地址資訊不清楚所以無法遞送，要求使用者於12個小時內透過簡訊內附上的連結來確認地址...」接著便將使用者導至網釣網站來騙取個資。

圖片來源／Akamai

研究人員指出，雖然USPS官網在調查期間依舊取得了DNS總查詢量的51%，但因過濾資料的方式不同，在現實世界中，惡意流量顯然會超過合法流量，同時也顯示了組合搶註技術於網釣領域中非常成功。