作者：Barracuda Networks 亞太區副總裁 James Forbes-May
在平日接收的電子郵件中，除了最常見的圖片、 PDF 、 Word 文件檔之外，有時候或許會看到一些 HTML 檔案附件，比如說電子報、品牌宣傳資訊等。這些看來十分平常且沒有被電郵系統攔截的 HTML 檔案附件，原來一不小心開啟便有機會「中招」，成為釣魚電郵的受害者。
事實上， HTML 檔案絕不是新鮮事物，主要用作建立網頁，然後透過瀏覽器將檔案的原始碼視覺化，只是大眾瀏覽網頁時，大多數不會點擊或開啟電腦內的 HTML 檔案來「上網」，而是習慣輸入網址或透過搜尋引擎等方式連接，從遠端的伺服器載入網頁原始碼將其視覺化而已。
眾所周知，電郵威脅日益複雜，釣魚電郵攻擊除了能透過電郵中的連結和二維碼引導用家到釣魚網站外，亦能利用 HTML 檔案令用家的瀏覽器進行多次網頁導向，避開各種安全防護工具偵測，再引導到釣魚網站來騙取個人資料及其他重要的系統登入資料，又或是透過 HTML 檔案裡的 JavaScript 下載一些可執行的惡意小型程式，以更直接的方式攻擊用家的電腦系統。
根據 Barracuda 最近公布的最新網絡威脅報告指出，在 2023 年 3 月掃描包含 HTML 在內的標記文本附件中，近一半（45.7%）被檢測為惡意附件，相比起去年急升一倍。早前發起 SolarWinds 攻擊的俄羅斯黑客集團 Nobelium，在 2021 年 5 月也採用 HTML 附件作攻擊工具，向全球 150 個組織發送惡意電郵。這亦意味著，若果機構的電郵保護方案未能有效判斷 HTML 附件安全與否，會造成嚴重的系統安全風險。
面對這類威脅，企業和機構應重新審視電郵保護系統功能的完整性，能否以人工智能及代碼分析來檢測藏在 HTML 檔案內的有害原始碼。另外，員工教育亦要多加著重，例如定期透過網絡釣魚模擬平台進行演習，提升員工對可疑電郵的警覺性。企業和機構亦要做好面對多重組合攻擊的準備，例如使用完備的多重身份驗證（ MFA ），更理想的情況是採用零信任訪問方式、利用自動化電郵防護工具應對和補救受到攻擊所造成的影響。
資料參考來源：
https://blog.barracuda.com/2023/05/03/threat-spotlight-malicious-html-attachments-doubles/
https://www.ithome.com.tw/news/147831