網(wǎng)絡(luò)釣魚是一種社會(huì)工程攻擊，通常用于竊取用戶數(shù)據(jù)，包括登錄憑據(jù)和信用卡號(hào)碼。當(dāng)攻擊者偽裝成受信任的實(shí)體，欺騙受害者打開電子郵件、即時(shí)消息或文本消息時(shí)，就會(huì)發(fā)生這種情況。然后收件人被誘騙點(diǎn)擊惡意鏈接，這可能導(dǎo)致安裝惡意軟件、作為勒索軟件攻擊的一部分凍結(jié)系統(tǒng)或泄露敏感信息。
攻擊可能會(huì)產(chǎn)生毀滅性的后果。對(duì)于個(gè)人而言，這包括未經(jīng)授權(quán)的購買、盜竊資金或身份盜竊。此外，網(wǎng)絡(luò)釣魚通常用于在企業(yè)或政府網(wǎng)絡(luò)中獲得立足點(diǎn)，作為更大攻擊的一部分，例如 高級(jí)持續(xù)威脅 (APT) 事件。在后一種情況下，員工為了繞過安全邊界、在封閉環(huán)境中分發(fā)惡意軟件或獲得對(duì)受保護(hù)數(shù)據(jù)的特權(quán)訪問而受到威脅。
屈服于此類攻擊的組織除了市場份額、聲譽(yù)和消費(fèi)者信任度下降外，通常還會(huì)遭受嚴(yán)重的財(cái)務(wù)損失。根據(jù)范圍，網(wǎng)絡(luò)釣魚嘗試可能會(huì)升級(jí)為安全事件，企業(yè)將難以從中恢復(fù)。
網(wǎng)絡(luò)釣魚技術(shù)
電子郵件網(wǎng)絡(luò)釣魚詐騙
電子郵件網(wǎng)絡(luò)釣魚是一種數(shù)字游戲。發(fā)送數(shù)千條欺詐性消息的攻擊者可以獲取大量信息和大量金錢，即使只有一小部分收件人落入騙局。如上所示，攻擊者使用一些技術(shù)來提高成功率。
一方面，他們將不遺余力地設(shè)計(jì)網(wǎng)絡(luò)釣魚郵件，以模仿來自欺騙組織的實(shí)際電子郵件。使用相同的措辭、字體、徽標(biāo)和簽名使消息看起來合法。
此外，攻擊者通常會(huì)試圖通過制造緊迫感來促使用戶采取行動(dòng)。例如，如前所述，電子郵件可能會(huì)威脅帳戶到期并將收件人置于計(jì)時(shí)器上。施加這樣的壓力會(huì)導(dǎo)致用戶不那么勤奮并且更容易出錯(cuò)。最后，郵件中的鏈接與合法的鏈接相似，但通常有拼寫錯(cuò)誤的域名或額外的子域。
魚叉式網(wǎng)絡(luò)釣魚
魚叉式網(wǎng)絡(luò)釣魚針對(duì)特定的個(gè)人或企業(yè)，而不是隨機(jī)的應(yīng)用程序用戶。這是一種更深入的網(wǎng)絡(luò)釣魚版本，需要有關(guān)組織的特殊知識(shí)，包括其權(quán)力結(jié)構(gòu)。
攻擊可能會(huì)如下進(jìn)行：
- 犯罪者研究組織營銷部門的員工姓名，并獲得最新的項(xiàng)目發(fā)票。
- 攻擊者冒充營銷總監(jiān)，使用主題行向部門項(xiàng)目經(jīng)理 (PM) 發(fā)送電子郵件，主題行為“第三季度活動(dòng)的更新發(fā)票”。文本、樣式和包含的徽標(biāo)與組織的標(biāo)準(zhǔn)電子郵件模板重復(fù)。
- 電子郵件中的鏈接重定向到受密碼保護(hù)的內(nèi)部文檔，該文檔實(shí)際上是被盜發(fā)票的欺騙版本。
- 要求 PM 登錄以查看文檔。攻擊者竊取他的憑據(jù)，獲得對(duì)組織網(wǎng)絡(luò)中敏感區(qū)域的完全訪問權(quán)限。
通過向攻擊者提供有效的登錄憑據(jù)，魚叉式網(wǎng)絡(luò)釣魚是執(zhí)行 APT 第一階段的有效方法。
如何防止網(wǎng)絡(luò)釣魚
網(wǎng)絡(luò)釣魚攻擊防護(hù)需要用戶和企業(yè)共同采取措施。對(duì)于用戶來說，警惕是關(guān)鍵。欺騙性消息通常包含暴露其真實(shí)身份的細(xì)微錯(cuò)誤。這些可能包括拼寫錯(cuò)誤或域名更改，如前面的 URL 示例所示。用戶還應(yīng)該停下來想想他們?yōu)槭裁磿?huì)收到這樣的電子郵件。
對(duì)于企業(yè)來說，可以采取一些步驟來緩解網(wǎng)絡(luò)釣魚和魚叉式網(wǎng)絡(luò)釣魚攻擊：
- 雙重身份驗(yàn)證 (2FA) 是抵御網(wǎng)絡(luò)釣魚攻擊的最有效方法，因?yàn)樗诘卿浢舾袘?yīng)用程序時(shí)增加了額外的驗(yàn)證層。2FA 依賴于用戶擁有兩件東西：他們知道的東西，例如密碼和用戶名，以及他們擁有的東西，例如他們的智能手機(jī)。即使員工遭到入侵，2FA 也會(huì)阻止使用他們被入侵的憑據(jù)，因?yàn)閮H憑這些憑據(jù)不足以進(jìn)入。
- 除了使用 2FA，組織還應(yīng)執(zhí)行嚴(yán)格的密碼管理策略。例如，應(yīng)要求員工經(jīng)常更改密碼，并且不允許在多個(gè)應(yīng)用程序中重復(fù)使用密碼。
- 教育活動(dòng)還可以通過強(qiáng)制執(zhí)行安全做法（例如不單擊外部電子郵件鏈接）來幫助減少網(wǎng)絡(luò)釣魚攻擊的威脅。
