网络安全知识：什么是网络钓鱼？

什么是网络钓鱼？

网络钓鱼攻击是欺诈性电子邮件、短信、电话或网站，旨在诱骗用户下载恶意软件、共享敏感信息或个人数据（例如社会保障卡号、信用卡号、银行帐号、登录凭据）或采取其他操作使他们自己或他们的组织面临网络犯罪。

成功的网络钓鱼攻击通常会导致身份盗窃、信用卡欺诈、勒索软件攻击、数据泄露以及个人和企业的巨大财务损失。

网络钓鱼是最常见的社会工程类型，是一种欺骗、施压或操纵人们向错误的人发送信息或资产的行为。社会工程攻击依靠人为错误和压力策略来获得成功。攻击者通常伪装成受害者信任的个人或组织（例如同事、老板、与受害者或受害者的雇主有业务往来的公司），并制造一种紧迫感，促使受害者轻率行事。黑客和欺诈者使用这些策略是因为欺骗人们比侵入计算机或网络更容易且成本更低。

据 FBI 称，网络钓鱼电子邮件是黑客用来向个人和组织发送勒索软件的最流行的攻击方法或媒介。IBM 的《2022 年数据泄露成本》发现，网络钓鱼是数据泄露的第二大常见原因（去年排名第四），而网络钓鱼造成的数据泄露成本最高，平均给受害者造成 491 万美元的损失。

网络钓鱼攻击的类型

批量网络钓鱼电子邮件

批量电子邮件网络钓鱼是最常见的网络钓鱼攻击类型。诈骗者会创建一封看似来自大型、知名合法企业或组织（国家或全球银行、大型在线零售商、流行软件应用程序或应用程序的制造商）的电子邮件，并将该消息发送给数百万用户。收件人。批量电子邮件网络钓鱼是一种数字游戏：冒充的发件人规模越大或越受欢迎，可能是客户、订阅者或会员的收件人就越多。

网络犯罪分子不遗余力地使网络钓鱼电子邮件看起来合法。它们通常在电子邮件中包含冒充发件人的徽标，并屏蔽“发件人”电子邮件地址以包含冒充发件人的域名；有些甚至会欺骗发件人的域名（例如，使用“rnicrosoft.com”而不是“microsoft.com”），以便一眼看上去是合法的。

主题行涉及冒充的发件人可能会可信地解决的主题，并吸引强烈的情绪（恐惧、贪婪、好奇、紧迫感或时间压力）以引起收件人的注意。典型的主题行包括“请更新您的用户个人资料”、“您的订单有问题”、“您的结账文件已准备好签署”、您的发票已附上。 

电子邮件正文指示收件人采取看似完全合理且与主题一致的操作，但会导致收件人泄露敏感信息（社会保险号、银行帐号、信用卡号、登录凭据）或下载感染收件人设备或网络的文件。

例如，收件人可能会被定向到“单击此处更新您的个人资料”，但底层超链接会将他们带到一个虚假网站，该网站会诱骗他们在个人资料更新过程中输入实际的登录凭据。或者，他们可能被告知打开看似合法的附件（例如“invoice20.xlsx”），但该附件会将恶意软件或恶意代码传送到收件人的设备或网络。

鱼叉式网络钓鱼

鱼叉式网络钓鱼是一种针对特定个人的网络钓鱼攻击，通常是有权访问敏感数据或网络资源的人，或者诈骗者可以利用特殊权限进行欺诈或恶意目的的人。

鱼叉式网络钓鱼者研究目标，收集所需的信息，以冒充目标真正信任的个人或实体（朋友、老板、同事、同事、可信供应商或金融机构）或冒充目标个人。社交媒体和社交网站（人们公开祝贺同事、支持同事和供应商，并倾向于过度分享会议、活动或旅行计划）已成为鱼叉式网络钓鱼研究的丰富信息来源。 

有了这些信息，鱼叉式网络钓鱼者就可以向目标发送一条包含特定个人详细信息或财务信息以及可信请求的消息，例如“我知道您今晚要离开去度假”，但是您可以支付此发票吗（或转账 USDXXX） .XX 到此帐户）在今天营业结束之前？

针对 C 级高管、富人或其他高价值目标的鱼叉式网络钓鱼攻击通常称为鲸鱼网络钓鱼或捕鲸攻击。

‍商业电子邮件泄露 (BEC)‍

BEC是一类鱼叉式网络钓鱼攻击，试图从公司或机构窃取大量资金或极其有价值的信息，例如商业秘密、客户数据、财务信息。

BEC 攻击可以采取多种不同的形式。

最常见的两个包括：

CEO 欺诈：诈骗者冒充 C 级高管的电子邮件帐户，或直接侵入该帐户，并向较低级别的员工发送消息，指示他们将资金转移到欺诈帐户、从欺诈供应商处进行购买或发送电子邮件文件发送给未经授权的一方。

电子邮件账户泄露 (EAC)：诈骗者可以访问较低级别员工（例如财务、销售、研发经理）的电子邮件帐户，并使用它向供应商发送欺诈性发票，指示其他员工进行欺诈付款或存款，或请求访问机密数据。