趋势科技公布2025资安预测报告　AI应用催生更多诈骗手法

▲趋势科技公布2025资安预测报告。（图／记者高兆麟摄）

记者高兆麟／综合报导

资安大厂趋势科技今日公布2025年资安年度预测报告，指出骇客将持续利用AI技术加速攻击效率、扩大攻击规模、产出更拟真的文字与影音内容进行AI诈骗，并寻找阻力最小、最容易取得的入侵途径，如滥用合法工具、攻击可公开存取的资料。此外，AI代理成为骇客觊觎的目标，AI系统漏洞可能将被用来诱骗AI执行有害或未经授权的动作甚至假冒身分，企业与个人皆需警戒任何AI可能带来的资安风险。

AI在今年大幅导入企业营运之中、国际大选及地缘政治影响，骇客开始针对其营运与攻击手法酝酿转型策略；2025年，预测更多的AI应用将催生出全新攻击手段，骇客因应情势变化调整攻击目标，将形成更加诡谲难测的资安态势。 趋势科技台湾区总经理洪伟淦表示：「生成式AI的进步将让骇客的攻击更隐匿、高效，预期2025 年，骇客将全力开发AI的应用范畴使网路犯罪更具毁灭性。面对不可逆的AI进程，全球资安风险和压力势必加剧，企业应化被动为主动，采用一套风险导向的资安方案做整体风险评估与管理；而作为AI世代的公民，人人皆需强化资安意识，以期能负责任并安全地使用AI。」 趋势科技预期，利用AI持续发动新的社交工程诈骗将是骇客的发展重点之一，如运用深伪技术(Deepfake)让社交工程诈骗更逼真、更个人化，只需利用个人公开的贴文来训练大型语言模型 (LLM)，就能模仿其写作风格、知识及性格并针对目标对象精准攻击，企业尤须留意变脸诈骗（BEC） 及假冒员工的AI变脸诈骗。此外，KYC认证回避服务(Bypass-KYC-as-a-service)近年也相当受地下市场欢迎，而构成此服务的三项要点源于非蓄意暴露的生物辨识资讯、外流或遭人窃取的个人身分识别资讯，以及日益强大的AI功能，金融保险产业需对此谨慎防范。 另一方面，企业为提升营运效率所频繁部署的AI代理系统将成为骇客更具吸引力的目标。骇客可能挟持AI代理或借由发掘AI系统的漏洞，诱使其执行未经授权或有害的动作，例如处理恶意指令、协助外泄敏感资料，或生成假数位身分欺骗AI系统。趋势科技建议，企业必须更加着重漏洞与攻击面管理，并善用基础资料情报，同时也需留意AI软体供应链攻击，避免AI代理或供应商出现缺失而连带受害。 趋势科技观察，勒索病毒集团经营模式改变，他们减少对钓鱼邮件的依赖，转而利用被窃取的帐户资料直接进入受害者系统，并频繁地结合恶意广告进行资讯窃取，将来自企业网路的数据应用于后续的勒索行动。除此之外，根据趋势科技台湾的资安事故应变服务案件统计，2024年目标式勒索资安事故有将近九成来自中小企业注一，预测中小型企业恐将持续成为骇客攻击的目标。 随着国际政治局势的变化，国家级骇客集团如 Lazarus、Turla 和 Pawn Storm 等，预计在2025年将继续活跃并加大攻击力度，并针对那些与其理念相抵触的组织发动攻击。这些骇客集团的目标依然集中在外交资讯、军事技术及其供应链。趋势科技提醒，企业组织必须预先建立强健的防御，认知自身在供应链中所扮演的角色，并采取积极的风险管理策略来保护关键基础设施与资讯。 2025年，AI加剧了传统攻击：产出更逼真的假讯息与更客制的网路钓鱼强化APT攻击、生成恶意程式码散播恶意程式或瞄准AI平台/工具来发动勒索攻击；同时助长新型态攻击手法：利用AI幻觉进行攻击、利用AI代理或AI漏洞制造资料外泄、从事未经授权恶意活动等问题，网路犯罪更难以防范。

对此，趋势科技资深技术顾问简胜财表示 ：「应对日趋复杂的攻击面，集中管理资产、整体风险评估、加强AI整合环境的安全防护（特别是在输入检查、回应检查及 AI 行动监控上）将是企业未来在规划资安策略着重的三大要点，同时，企业可以利用AI转化为资安防护的利器，应用于威胁分析、资产管理、攻击预测及矫正指引上，帮助提升防御力，即时应对 AI 带来的新旧威胁。」