网络钓鱼和短信欺诈均属于社会工程攻击的范畴，其主要目的在于诱使受害者泄露个人敏感信息。
网络钓鱼通常通过发送含有恶意链接或附件的电子邮件进行。而短信欺诈，顾名思义，是短信和网络钓鱼的结合，攻击者会发送包含恶意链接或电话号码的短信，以此诱导受害者点击链接或拨打电话。
在这两种攻击模式中，犯罪分子都会通过制造紧急感来威胁潜在的受害者，声称如果他们不立即采取行动，将会面临严重的后果。 受害者在惊慌失措的情况下，往往会泄露诸如密码或银行账户信息等敏感数据。
在深入了解这两种攻击方式的异同之前，让我们首先明确一下它们各自的定义。
什么是短信欺诈？
短信欺诈是一种网络攻击，犯罪分子通过发送包含恶意链接或伪造电话号码的短信来欺骗手机用户。 他们会使用具有说服力的文字来操控用户，促使其采取行动。
攻击者通常会利用紧急情况来制造恐慌，例如声称有包裹需要立即支付运费，或是需要确认金融交易，又或者是催缴未付款项。
什么是网络钓鱼？
网络钓鱼是指发送带有恶意链接或附件的欺诈性电子邮件。 这些邮件会将用户导向攻击者控制的服务器，或在用户设备上安装窃取敏感信息的恶意软件。
在网络钓鱼攻击中，攻击者创建的网站可能会伪装成合法网站，只是域名存在细微的拼写错误。 然而，这些虚假网站通常包含登录入口，当受害者输入用户名和密码时，攻击者就能窃取这些信息，让用户误以为正在访问安全的网站。
短信欺诈与网络钓鱼：相似之处
短信欺诈和网络钓鱼都采用社会工程策略来欺骗毫无戒心的用户，从而窃取敏感或机密信息。这两种攻击方式有以下共同点：
- 均使用具有说服力的语言，警告受害者如果他们不立即采取行动，将会面临潜在的危险。 例如，他们可能会声称，如果受害者不点击链接，银行账户或信用卡将被冻结，电力或电话服务将被中断。
- 攻击信息中通常包含由攻击者控制的恶意链接，这些链接可能导致窃取登录凭证或其他敏感信息，安装恶意软件或病毒，或破坏用户设备。
- 制造紧迫感：两种攻击都会营造一种紧迫感，利用威胁或警告来让受害者相信，如果不立即行动，将会产生负面后果。
- 欺骗性：两种攻击都利用社会工程手段来欺骗和操纵受害者。网络钓鱼和短信欺诈的攻击者经常伪装成知名的合法公司，例如微软、亚马逊、谷歌等。这使得受害者更容易相信并做出回应，提供所需信息，误以为他们正在与这些官方机构打交道。
- 相同的目标：发起网络钓鱼或短信欺诈攻击的主要目的是诱骗受害者泄露敏感的个人或公司信息，例如登录凭证、信用卡或银行账户信息等。
短信欺诈与网络钓鱼：差异
下表列出了短信欺诈和网络钓鱼的主要差异：
| 特征 | 短信欺诈 (Smishing) | 网络钓鱼 (Phishing) |
| 攻击媒介 | 使用带有缩短的恶意URL或虚假电话号码的短信 | 使用带有恶意链接或附件的电子邮件 |
| 媒介设备 | 手机或移动设备 | 可访问电子邮件的计算机或移动设备 |
| 影响范围与效果 | 平均每周发送26.5亿条垃圾短信。短信中链接的点击率高于电子邮件。与网络钓鱼相比，更多用户可能因短信欺诈而受害。 | 每天发送约34亿封网络钓鱼邮件，但点击率低于短信。 |
| 传输机制 | 发送至手机的短信 | 发送至计算设备的电子邮件 |
| 用户意识 | 据统计，2022年4月，每周发送和接收的垃圾短信达到26.5亿条。 短信中的链接点击率通常高于电子邮件中的链接。与网络钓鱼相比，更多用户可能因为短信欺诈而受害。大约60%的手机用户对短信欺诈缺乏认识，很容易成为受害者。 | 大多数电子邮件用户对网络钓鱼攻击有所了解。 |
| 恶意链接形式 | 缩短的恶意链接和虚假号码 | 恶意链接和附件 |
| 设备风险 | 可能会窃取手机中的机密信息。 | 攻击者可能会利用受感染的设备向同一网络上的计算机传播恶意软件或病毒。 |
| 紧急程度 | 使用更紧急、更具说服力的信息，要求立即回应 | 紧急邮件，但不如短信那么频繁 |
如何保护自己？
以下是一些可以帮助您预防网络钓鱼和短信欺诈的实用建议：
- 使用强大的电子邮件安全解决方案：安装有效的安全软件，例如防病毒软件、强大的防火墙、垃圾邮件过滤器、链接分析工具、反网络钓鱼软件等。这些工具可以帮助您检测并阻止网络钓鱼邮件。
- 启用多因素身份验证（MFA）：部署MFA可以通过要求用户提供除密码之外的其他身份验证方式来增加额外的安全保障。例如，在输入用户名和密码之后，系统会要求用户提供发送到手机上的验证码。
- 定期更新操作系统和软件应用：及时更新操作系统、应用程序和安全软件，可以确保系统拥有最新的安全补丁，从而修复可能被犯罪分子利用的漏洞。
- 遵循安全的网络行为：即使在电脑或移动设备上安装了安全软件，您仍需要保持安全的在线习惯。了解攻击者使用的各种手段，有助于您防范风险。此外，学习如何识别社会工程的危险信号，例如拼写错误、紧急情况、错误域名、未知发件人等。
- 建立安全意识：组织应定期为员工提供关于网络钓鱼、短信欺诈和其他网络攻击的培训。他们可以使用网络钓鱼模拟工具来测试员工的安全意识，识别并解决安全漏洞。个人用户也应该向家人和朋友普及网络安全知识，教育他们如何保持警惕。
- 报告可疑攻击：向银行或其他相关机构报告可疑案件，以便他们采取措施保护账户。此外，您还可以向当地的欺诈预防机构报告，以便他们进行进一步的调查。
- 使用模拟网络钓鱼尝试来测试安全意识：模拟测试可以帮助管理员评估员工的安全意识，了解他们将如何应对真实的网络钓鱼攻击。模拟软件通常会发送类似攻击者发送的网络钓鱼邮件，但不包含有害链接或附件。这有助于组织评估安全培训的效果，并及时发现需要改进的地方。
- 保护敏感信息：除了使用防病毒软件和加密技术来保护敏感数据外，最好限制谁有权访问数据，以及他们可以利用这些数据做什么。理想情况下，应授予用户最小的权限，只允许他们访问完成任务所需的数据和资源。即使攻击者获得未授权的访问权限，也不会造成太大的损害。
- 忽略或删除任何可疑的短信或电子邮件：避免点击可疑消息中的附件或链接。切勿回复要求您发送个人信息（如信用卡或银行账户详细信息）的消息。
遭受攻击后该怎么办？
尽管我们竭尽全力检测和阻止网络钓鱼和短信欺诈消息，每天仍有数百万条虚假信息成功绕过垃圾邮件过滤器和其他安全措施。
不幸的是，即使是那些了解这些骗局的用户，也可能会因为一时疏忽而点击恶意链接。虽然最好的策略是忽略并避免回复虚假信息，但了解遭受攻击后该怎么做也十分重要。
#1. 确定攻击是如何发生的
了解攻击发生的原因，以及您的安全系统是否需要改进，以防止将来再次发生类似的事件。
#2. 检查攻击效果
分析网络钓鱼邮件，找出攻击者的意图、目标数据和目的。您可以使用防火墙日志或其他类似工具来查找可疑的IP地址和URL。检查可能被泄露的账户和数据，并密切监控您的在线和银行账户，留意任何可疑活动，例如尝试从异常地点登录或资金转移。
#3. 通知相关组织
最佳做法是联系相关的合法公司，告知他们有攻击者正在利用该公司的名义进行欺诈活动。这将有助于该组织提醒客户注意骗局。
#4. 将设备与网络隔离
如果您的手机或计算机被感染，请将其与网络断开连接，防止恶意软件或其他已安装的软件上传您的敏感数据。这也有助于保护网络上的其他计算机。
除了阻止恶意软件传播到网络上的其他设备外，断开连接还可以确保您的设备不会窃取敏感数据并将其上传到互联网或攻击者的计算机。
#5. 清理设备
使用可靠的工具清理受感染的设备，确保在没有风险的情况下再重新连接。您可以考虑将系统还原到之前的良好状态，例如攻击发生前的一周。此外，及时更改被感染账户的密码和PIN码。
结论
每个使用移动设备和计算机的个人和组织都容易受到网络钓鱼和短信欺诈的威胁。短信欺诈主要针对手机用户，而网络钓鱼则主要针对电子邮件用户。
无论哪种方式，垃圾邮件发送者都会使用社会工程手段来诱骗用户泄露密码、银行信息和其他敏感数据。大多数网络钓鱼和短信欺诈信息都可能绕过垃圾邮件过滤器和其他安全措施，让用户误以为这些信息是合法且安全的。
保持警惕，并了解网络安全的最佳实践，有助于防止数据和身份盗窃。防范攻击的最佳方法是教会用户如何识别网络钓鱼和短信欺诈的迹象，例如紧急情况、未知发件人、泄露敏感信息的要求等。一旦怀疑受到攻击，请立即忽略该信息，并向相关组织进行确认。
接下来，我们将探讨什么是假脱机攻击，以及如何保护自己免受此类攻击。