駭客濫用 AI 從事網釣，冒充高階主管詐騙財務人員

微軟警告，駭客正借助生成式 AI 的力量改善冒名高階主管與發票詐騙郵件的製作方式，讓內容更貼近企業內部的溝通情境。該公司觀察到最新一波大規模金融詐騙活動中，攻擊者在 8 月 3 日至 5 日間透過多個第三方郵件服務帳戶寄出逾 100 萬封郵件，其中 87.7% 寄往美國。

商務電子郵件詐騙長期是造成損失最高的攻擊類型之一，而其成功的關鍵在於可信度。過去這類郵件的破綻相當明顯——語法錯誤、措辭生硬、格式不符合企業慣例；而受過訓練的員工通常能據此識別。

生成式工具移除了這些破綻。模型能產出語法正確、語氣專業且符合商務慣例的文字，並依據目標對象的角色調整措辭；同時，每一封郵件的內容都能不同，使得基於內容比對的過濾規則難以發揮作用。

冒充特定服務的品牌通知則是另一個層次。當郵件模仿企業日常使用的系統通知——工作流程審批、發票處理、帳號驗證——收件者的警覺性本來就較低，因為這類訊息在工作中極為常見；而模型能輕易複製這類通知的語言風格。

規模化的能力同樣關鍵。100 萬封郵件在三天內寄出，意味著攻擊的經濟模型已經改變：即使成功率極低，絕對數量仍足以造成可觀損失。而客製化的成本降低，讓「大規模」與「針對性」這兩個過去互斥的特性得以同時成立。

後續觀察重點在於企業流程的因應。技術過濾的效果在這類攻擊中有限，而真正有效的防線是流程控制——大額付款的多重驗證、透過獨立管道確認指示、以及對緊急要求的例外處理規定。這些不依賴辨識郵件真偽，因此不受內容品質提升的影響。