鱼叉式网络钓鱼是一种极具威胁的网络安全攻击，它可能导致机构或个人遭受敏感信息泄露、资金损失以及声誉严重受损。
据美国联邦调查局报告，许多组织已经成为鱼叉式网络钓鱼的受害者，损失金额高达约50亿美元。
你可能会收到一封标题为“恭喜你，赢取iPhone 12!”的电子邮件或短信。接下来，你会受诱导点击一个链接以“领取”这份优惠。
这就是人们如何轻易陷入网络钓鱼等骗局的常见手段，而鱼叉式网络钓鱼则更进一步。
攻击者会发送更加个性化、看起来更真实的电子邮件，诱骗人们泄露机密信息或转账。
那么，如何保护自己免受这类攻击？更重要的是，如何有效识别这些攻击呢？
本文将深入探讨鱼叉式网络钓鱼，并尝试解答这些关键问题。
请继续阅读！
什么是网络钓鱼？
网络钓鱼是一种网络攻击，攻击者伪装成合法的机构或个人，通常通过电子邮件、短信或电话与目标进行通信。其目的是窃取敏感的商业或个人数据，例如登录凭据、信用卡或借记卡信息、密码等等。
他们通常通过诱导目标点击恶意链接、下载电子邮件或短信中的附件，或在设备上安装恶意软件来实现。通过这种方式，攻击者可以非法访问目标的个人数据和在线账户，获取修改数据的权限，破坏连接的系统，甚至是劫持他们的整个计算机网络。
黑客可以利用你的信用卡信息和个人数据来谋取经济利益。他们甚至可能要求支付赎金以归还被盗系统、网络和数据。在某些情况下，黑客可能会诱骗员工窃取商业信息来攻击公司。
网络钓鱼活动通常包含以下特征：
- 看似合法且诱人的消息，旨在引起接收者的注意，例如声称“你中了大奖！”或“免费领取你的iPhone 12”的电子邮件。
- 制造紧迫感，敦促你在有限的时间内立即采取行动，比如完成交易、响应事件或更新信息。
- 发件人看起来不寻常，或看起来令人意外、不合时宜或可疑。
- 包含指向知名网站的可疑或拼写错误的链接。
- 你不期望或毫无意义的附件。
什么是鱼叉式网络钓鱼？
鱼叉式网络钓鱼是一种有针对性的网络钓鱼活动，攻击者向组织中的特定人群或个人发送高度定制化的电子邮件和附件。
鱼叉式网络钓鱼的攻击者通常会伪装成值得信赖或熟悉的实体，试图诱骗受害者信任他们，并提供敏感信息、下载恶意软件或汇款。
鱼叉式网络钓鱼也可以被视为一种社会工程策略，网络犯罪分子会伪装成已知或受信任的个人，诱骗目标下载附件或点击恶意电子邮件或文本消息。这会导致目标暴露敏感信息，或在不知情的情况下在其组织网络上安装恶意程序。
鱼叉式网络钓鱼的目标通常包括个人账户的访问权限、高级管理人员的身份、掌握机密信息的人员、军官、安全管理员等等。
例如：2015年，谷歌和Facebook据称因立陶宛的电子邮件诈骗案损失了约1亿美元。
网络钓鱼与鱼叉式网络钓鱼
1. 类型：网络钓鱼是一个广义术语，而鱼叉式网络钓鱼是网络钓鱼的一种具体形式。两者都是旨在通过电子邮件和消息获取机密信息的网络攻击，针对特定个人或企业。
2. 目标：网络钓鱼诈骗非常普遍，攻击者可能会一次向数千人发送恶意邮件。他们的目标是尽可能扩大攻击范围，试图捕获任何受害者来获取信息或金钱。
另一方面，鱼叉式网络钓鱼专门针对组织中拥有高度敏感信息的个人或群体，例如与其商业信息、个人信息、军事信息、信用卡或借记卡信息、银行密码和账户凭据等相关的货币文件。
网络钓鱼与鱼叉式网络钓鱼
3. 电子邮件类型：网络钓鱼邮件可能包含一般性信息，旨在诱骗人们泄露敏感信息或转账。
相比之下，鱼叉式网络钓鱼针对特定个人或群体使用定制的、精心制作的电子邮件，这些邮件很难与合法来源区分开来。这些邮件可能包含他们的姓名、职位等，试图建立信任，从而使其成为攻击的受害者。
4. 示例：一个典型的网络钓鱼活动例子可能是“你赢得了iPhone XI”。 这并非针对特定个人，而是针对任何点击链接以领取“奖品”的人。它没有透露你在哪里以及如何赢得比赛，而是针对更广泛的潜在受害者。
而一个典型的鱼叉式网络钓鱼活动的例子可能是一封精心制作的电子邮件，看起来来自你认识或信任的真实来源，其中可能包含你的姓名或在组织中的职位。
然而，网络犯罪分子使用这两种欺诈方法–基于最终目标的网络钓鱼和鱼叉式网络钓鱼。他们可以通过关注数量而不是质量，利用网络钓鱼来增加成功的机会。相反，他们可以通过专注于质量而不是数量，使用鱼叉式网络钓鱼来提高在组织内部的成功率。
鱼叉式网络钓鱼的类型
鱼叉式网络钓鱼可能存在多种形式，例如：
克隆网络钓鱼
克隆式网络钓鱼是一种攻击方式，犯罪分子会设计一个真实邮件的“更新版”，诱导接收者认为它是真实的，并且是对之前邮件的回复。但是，在这封新邮件中，攻击者会插入恶意的附件或链接来替换原来的内容。
这样一来，接收者就会被欺骗并泄露关键信息。
恶意附件
这种鱼叉式网络钓鱼方式很常见。攻击者会发送带有恶意附件和链接的电子邮件，有针对性地攻击组织中的个人或群体。攻击者还会利用被盗信息来索要赎金。
恶意附件
如果在你的收件箱中发现这样一封可疑或意想不到的邮件，请不要点击或打开其中的链接或附件。如果你仍然认为邮件是合法的，并且应该打开链接，只需将鼠标悬停在链接上，即可查看链接的完整地址。
这有助于你评估地址，并验证其真实性。恶意链接的地址可能包含拼写错误或其他违规行为，这些可能会在不注意的情况下被忽略。因此，为了更安全起见，在下载附件或点击链接之前，请务必检查链接来源。
冒充
诈骗者会在电子邮件中冒充知名品牌，复制用户通常从这些品牌收到的常规电子邮件工作流程。在这里，攻击者会将原始链接替换为恶意链接，例如欺诈性的登录页面，以窃取帐户信息和其他敏感数据。银行、视频流媒体服务等通常是冒充的目标。
CEO 和 BEC 诈骗
网络犯罪分子可能会冒充CEO或其他高级管理人员，攻击组织财务或会计部门的员工。由于职位等级较低，员工通常难以或几乎不可能拒绝级别更高的官员的某些指示。
通过商业电子邮件泄露（BEC）诈骗和CEO电子邮件诈骗，攻击者可以利用高级管理人员的影响力来诱骗员工提供机密数据、转账等。
鱼叉式网络钓鱼如何运作？
鱼叉式网络钓鱼攻击是专门针对目标量身定制的，并根据收集到的关于目标的信息精心设计。
选择目标
攻击者首先从组织中选择个人或团体作为目标，然后开始研究他们并收集信息。
现在，诈骗者在选择目标时还会考虑具体因素。选择的目标基于个人可以访问的信息类型，以及攻击者可以收集到的关于目标的数据。他们通常会选择那些容易获取数据的人。
鱼叉式网络钓鱼通常不会针对高级管理人员或高管。他们可能会选择那些缺乏经验或知识的人，因为他们更容易被操纵。此外，新员工或较低级别的员工可能不熟悉组织的安全政策和措施，因此他们可能会犯错，从而导致安全漏洞。
收集关于目标的信息
然后，攻击者会从公开来源，如社交媒体（包括领英、脸书、推特等）和其他个人资料中搜索关于目标的公开可用数据。他们还可能收集关于其地理位置、社交联系方式、电子邮件地址等信息。
创建有害电子邮件
在收集到目标的详细信息后，攻击者会利用这些信息来创建看起来可信的电子邮件，并根据目标的姓名、在组织中的职位、偏好等进行个性化定制。他们在电子邮件中插入恶意的附件或链接，然后将其发送给目标。
鱼叉式网络钓鱼活动不仅可以通过电子邮件进行，还可以通过社交媒体和短信进入目标设备。这些信息通常来自一个不熟悉的人，向你提供一个诱人的、引人注目的提议，或让你感到有立即完成任务的紧迫感，例如提供借记卡/信用卡信息或一次性密码（OTP）。
骗局
一旦目标认为电子邮件或短信是合法的，并按要求行事，他们就会被欺骗。他们可能会点击攻击者发送的恶意链接或附件，从而泄露敏感信息、付款或安装恶意软件，这可能会进一步破坏系统、设备和网络。
这对任何个人或组织来说都是灾难性的，导致他们在金钱、声誉和数据方面遭受损失。这些组织还可能因未能保护客户数据而受到处罚。有时，攻击者还会要求支付赎金来归还被盗信息。
如何检测鱼叉式网络钓鱼？
尽管鱼叉式网络钓鱼攻击很复杂，但仍然有一些方法可以识别它们并保持警惕。
识别发件人
使用与知名品牌相似的域名发送电子邮件是鱼叉式网络钓鱼中常用的技术。
例如，一封电子邮件的发件人可能是“arnazon”，而不是我们熟悉的亚马逊（Amazon）。字母“r”和“n”组合看起来可能像“m”，如果你不仔细看，可能会被忽略。
因此，当你收到意料之外的电子邮件时，请仔细检查发件人。仔细拼写域名，如果它看起来可疑，请不要点击它。
评估主题行
评估主题行
鱼叉式网络钓鱼邮件的主题行通常会引发恐惧感或紧迫感，促使你立即采取行动。它可能包含“紧急”或“重要”等关键词。此外，他们可能试图通过使用“转发”、“请求”等字眼与你建立信任，并在此过程中获取你的注意力。
此外，高级的鱼叉式网络钓鱼策略可能涉及到长期策略，以与你建立联系并窃取信息，或以金钱诈骗你。
因此，请检查主题行中此类危险信号，并仔细阅读整封邮件。如果邮件看起来可疑，请不要理会它。
检查内容、附件和链接
仔细检查完整的电子邮件或短信内容，包括附带的链接和附件。如果你在社交账户上提供了某些个人信息，那么攻击者很有可能会利用这些信息并在邮件中使用它们。因此，当你看到自己的姓名和其他个性化信息时，不要认为它一定是可信的。
验证请求
如果你在检查上述因素后仍无法判断邮件是否可疑，请暂时不要下任何结论。如果你认识发送邮件并要求你提供数据或金钱的人，最好通过电话或直接联系的方式进行验证。
例如：假设你收到一封邮件，声称你的银行账户存在需要解决的特定问题，并要求你立即提供借记卡信息或一次性密码。与其透露信息，不如直接打电话给你的银行分支机构，询问他们是否真的需要这些信息。答案通常是否定的，因为这些关键信息通常不会通过电子邮件或电话获取。
如何保护自己免受鱼叉式网络钓鱼？
你可能无法完全避免安全事件，但可以采取特定的策略来确保安全。以下是一些你可以遵循的鱼叉式网络钓鱼预防方法：
执行严格的安全政策
在整个组织中实施严格的安全政策是减轻包括鱼叉式网络钓鱼在内的任何类型网络安全风险的第一步。所有员工在共享数据、付款、存储客户和业务详细信息等方面都必须遵守这些政策。你还必须加强你的密码政策，告诉大家：
- 使用唯一、强度高且复杂的密码。
- 不要对多个账户、应用程序或设备使用相同的密码。
- 禁止与任何人分享密码。
- 谨慎管理密码。
使用多因素身份验证（MFA）
多因素身份验证（MFA）是一种降低风险的安全技术。它要求用户在访问账户或应用程序时提供多个身份验证凭据。它创建了一个额外的安全层，降低了攻击的可能性。
因此，即使一个密码被泄露，也会有其他安全层来加强安全性，增加攻击者的难度。它还为你提供了缓冲时间，来发现异常并在账户被劫持之前采取补救措施。
提高安全意识
技术在不断发展，网络攻击和相关技术也在不断发展。因此，有必要跟上最新的风险，并了解如何检测和预防它们。所以，培训你的员工并让他们了解最新情况，这样他们就不会犯下可能导致攻击的错误。
使用电子邮件安全系统
大多数鱼叉式网络钓鱼诈骗都是通过电子邮件进行的。因此，使用电子邮件安全系统或软件来保护你的电子邮件会有所帮助。这些系统旨在检测可疑邮件，并阻止它们或修复威胁，从而保证你的收件箱只包含清晰、合法的邮件。你可以使用Proofpoint、Mimecast、Avanan等电子邮件安全软件。
补丁和备份
你必须定期修补和更新所有系统、软件和应用程序，以保持它们以最佳状态运行，同时确保没有漏洞可被利用。此外，定期创建数据备份有助于确保数据的安全。这样，即使发生攻击或自然灾害，你丢失的数据也不会真正丢失。
但是，如果你已经点击了恶意链接或下载了有害附件，请执行以下步骤：
- 不要提供任何数据。
- 立即更改密码。
- 通知你的IT安全部门。
- 断开网络连接。
- 使用防病毒软件彻底扫描你的系统。
结论
网络安全攻击正在不断发展，并且变得更加先进。鱼叉式网络钓鱼是其中一种攻击形式，它会对个人和企业在数据、金钱和声誉方面造成损害。
因此，了解和检测鱼叉式网络钓鱼等网络犯罪行为，对于保护你和你的组织至关重要。