為了盜取企業的帳號資料，網絡罪犯可謂無所不用其極去誘騙員工進入釣魚網站，之前出現過 SharePoint 邀請和語音短訊作誘餌之後，最近發現有騙徒假冒公司內部的表現評估，引誘員工登入自己的公司帳號。
兩大誘因令員工更易墮入陷阱
偽裝作表現評估對目標攻擊發動攻擊，有兩個原因令收到電郵的員工更容易掉入陷阱。首先，正常公司內部的表現評估都屬於強制性，員工並不能單方面拒絕 (如果還想在公司裡工作的話)，導致當面對偽裝的釣魚電郵時，如果無法立即察覺電郵屬偽裝，就很可能掉入陷阱。第二，表現評估通常都與薪酬調整有關，在員工害怕失去加薪的機會下，即使有一點懷疑仍可能選擇信以為真。
而釣魚電郵會假借 HR 的名義發出，內容是公司的表現評估和一條自稱前去填寫評估表格的連結。
主要瞄準新入職員工
如果員工依照釣魚電郵的指示，就會到連結的網站登入，然後等待額外資料的電郵，如果是新入職的員工，所有步驟看起來都十分正常，只有網址因為與公司無關而引起嫌疑。如果員工從連結看到的「HR Portal」登入網頁，看起來並不專業，反而十分簡單，以明亮的單色或漸變色作為背景，只有資料輸入的欄目在內，不過為了增加可信性，騙徒加入了確認接受私隱條款 (沒有提供相關條款) 的選項。
受害者被要求輸入他們的用戶名稱、密碼和電郵地址，在某些情況，騙徒會要求輸入他們的工作地址，當按下 Sign In 或 Appraisal 鍵時，其實是把資料傳到網絡罪犯手上，而所謂的表現評估就突然結束，員工可能會等待訛稱的電郵，過一段時間後懷疑有地方出錯而主動聯絡真正的 HR 部門，繼而通知 IT 保案，否則公司可能長時間不知道公司受到攻擊。
企業帳號被盜的風險
員工的公司帳號被盜，後果因情況而異，也要考慮受影響的公司部置了甚麼技術。當騙徒取得員工的帳號資料，他們可以利用受害人的名義對其他公司、合作夥伴或客戶發放釣魚電郵。攻擊者也獲得存取公司內部資料的權限，提高入侵公司網絡的機會，繼而進行其他違法的行為，而被盜的內部文件也可能被用作勒索或售予競爭對手。
防範網絡釣魚攻擊
網絡釣魚攻擊的漏洞在「人」的因素，所以要確保員工熟識公司網絡保安的程序。
- 定期提醒員工電郵連結的危險性，在完全確定安全才打開。
- 提醒員工不要在外部網站登入工作帳號
- 安裝保安方案，例如 Kaspersky Security for Mail 或 Kaspersky Endpoint Security for Business Advanced 去攔截釣魚電郵
