台灣電腦網路危機處理暨協調中心-TWCERT/CC

微軟提供的網頁版 Outlook，近日再度新增 38 個禁用的副檔名，以防用戶誤傳含有惡意程式碼的檔案。

Email 附檔中夾帶的惡意軟體，往往是許多用戶遭到駭侵的一大原因；微軟在其 Outlook 網頁版服務，最近將新增 38 種禁止夾帶於 Email 中的檔案類型副檔名，以進一步減少 Email 夾檔的資安風險。

這次新增的 38 種禁用副檔名，包括 Python、Java 用到的 .py、.pyc、.jar 等，以及數位簽章檔案會用到的 .cer、.crt 等，還包括一些安全漏洞較多的老舊應用程式副檔名，如 .vbp、.pl 等。

先前微軟已經禁用了高達 104 種副檔名，這次新增的副檔名種類雖多，但並不屬於一般用戶常用的檔案名稱。相對的，Google 的 Gmail 服務僅僅禁用 44 種副檔名。

雖然郵件服務業者會採用禁用副檔名的策略，來防堵惡意軟體透過 Email 散布，但有許多惡意程式碼會藏在 .docx 或 .pdf 這類不可能禁止傳送的檔案中，因此用戶在開啟這類檔案時，仍需自己提高警覺。

• 參考連結
• https://techcommunity.microsoft.com/t5/Exchange-Team-Blog/Changes-to-File-Types-Blocked-in-Outlook-on-the-web/ba-p/874451
• https://nakedsecurity.sophos.com/2019/09/30/outlook-on-the-web-bans-a-further-38-file-types/

• 更多【資安事件及新聞】請參考 http://twcert.org.tw/twcert/news