网络钓鱼套路深！防止你的企业不“上钩”的举措

据Proofpoint的《2020年网络钓鱼状态报告》显示，美国65%的企业组织在2019年遭遇了得逞的网络钓鱼攻击。这既表明了攻击者很高明，又表明了需要同样很高明的安全意识培训。还有这一点：并非所有的网络钓鱼骗局都以相同的方式运作――有些是普通的电子邮件轰炸，另一些则经过精心设计，以攻击特定类型的人群，要培训用户知道邮件何时很可疑比较困难。

不妨看一下网络钓鱼攻击的不同类型以及如何识别它们。

网络钓鱼 ：群发电子邮件

最常见的网络钓鱼形式是普通的群发邮件，即有人发送一封冒充他人的电子邮件，试图诱骗收件人执行某种操作，通常是登录网站或下载恶意软件。攻击通常依赖电子邮件进行，即伪造电子邮件标题(发件人字段)，好让邮件看起来像是由可信任的发件人发送的。

然而，网络钓鱼攻击并不总是看起来像是UPS投递通知电子邮件、PayPal关于密码将过期的警告消息或关于存储配额的Office 365电子邮件。一些攻击是专门针对组织和个人而设计的，另一些攻击则依赖电子邮件之外的方法。

鱼叉式网络钓鱼 ：攻击特定目标

网络钓鱼攻击因此而得名：骗子们通过使用欺骗性或欺诈性的电子邮件作为诱饵来钓鱼，寻找随机的受害者。鱼叉式网络钓鱼攻击用钓鱼来比喻，因为攻击者专门针对高价值的受害者和企业组织下手。攻击者可能觉得攻击少数几家公司企业更有利可图，而不是试图搞到1000个消费者的银行登录信息。有政府撑腰的攻击者可能盯上为其他国家的政府机构效力的雇员或政府官员，以窃取国家机密。

鱼叉式网络钓鱼攻击的成功率极高，因为攻击者花大量时间来制作专门针对收件人的信息，比如介绍收件人可能刚出席的会议或发送恶意附件，其中文件名提到了收件人感兴趣的主题。

在2017年的一次网络钓鱼活动中，Group 74(又名Sofact、APT28或Fancy Bear)利用一封佯称与美国网络冲突会议有关的电子邮件攻击了网络安全专业人员，该会议由美国西点军校陆军网络学院、北约组织协作网络军事学院和北约组织协作网络防御卓越中心共同组织。虽然确实有CyCon这个会议，但附件实际上是一个含有恶意Visual Basic for Applications(VBA)宏指令的文档，该宏指令会下载并执行名为Seduploader的侦察恶意软件。

鲸钓攻击 ：追逐大目标

不同的受害者，不同的发薪日。专门针对企业高管的网络钓鱼攻击名为鲸钓攻击，因为受害者被认为具有高价值，而且被盗的信息将比普通员工提供的信息更有价值。相比入门级员工，属于首席执行官的账户登录信息会打开更多的大门。目标是窃取数据、员工信息和现金。

鲸钓攻击还需要更深入地研究，因为攻击者需要知道目标受害者与谁联系、他们在进行哪种讨论。例子包括提到客户投诉、法律传票，或甚至公司管理层中的问题。攻击者通常先采用社会工程学伎俩，以收集有关受害者和公司的信息，然后设计将用于鲸钓攻击的网络钓鱼消息。

商业电子邮件入侵(BEC)： 冒充首席执行官

除了普通的群发网络钓鱼活动外，犯罪分子还通过商业电子邮件入侵(BEC)欺诈和首席执行官邮件欺诈来攻击财务和会计部门的关键人员。这些犯罪分子通过冒充财务人员和首席执行官，企图诱骗受害者将资金转入到未经授权的账户。

攻击者通常通过利用现有感染或通过鱼叉式网络钓鱼攻击，入侵公司高管或财务人员的电子邮件账户。攻击者潜伏下来，对高管的邮件活动监视一段时间，以摸透该公司内部的流程和程序。实际的攻击采取虚假邮件的形式，虚假邮件看起来像是从中招高管的账户发送给常规收件人的邮件。邮件似乎很重要很紧迫，要求收件人立马电汇到外部或陌生的银行账户。这笔钱最终进入到攻击者的银行账户。

据反网络钓鱼工作组的《2020年第二季度网络钓鱼活动趋势报告》显示，“商业电子邮件入侵(BEC)攻击导致的电汇损失平均额在增加：2020年第二季度企图电汇的平均额为80183美元。”

（编辑：云计算网_泰州站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!