在众多网络安全问题中，像二维码网络钓鱼这样的网络钓鱼攻击在该行业大行其道，有报告指出，金融行业的软件供应链也受到了攻击。 

“网络钓鱼即服务”大肆袭来 

Sekoia声称，2023年，网络钓鱼即服务模式得到广泛的应用。网络犯罪分子正在销售钓鱼工具包，这其中包括模仿各种金融机构的钓鱼页面，以及旨在接管微软并获取微软365登录凭证的工具包，企业微软365验证等多种服务。

NakedPages PhaaS就是此类威胁的一个例子，它提供针对不同目标（其中包括金融机构）的网络钓鱼页面。该威胁攻击行为体拥有3500多人，他们一直维护许可证并经常在Telegram频道上发布软件更新。

Sekoia的战略威胁情报分析师Livia Tibirna说，一般来说，网络犯罪分子更加倾向于通过邀请用户加入他们的公共资源频道来增加软件的受众，从而提高他们的知名度。因此，这些用户是威胁行为者服务的潜在的客户。然而，加入威胁行为者Telegram频道的另一类用户是监控相关威胁的网络安全专家。

二维码网络钓鱼活动已经呈上升趋势。Sekoia报告称，二维码网络钓鱼（或称 "网络钓鱼"）攻击活动数量激增。其中被称为“网络钓鱼”的网络攻击会使用二维码诱骗人们泄露个人信息，如登录密码或银行账户信息。

这家网络安全公司指出，二维码网络钓鱼数量最终都会增加，因为它能有效逃避检测和躲避电子邮件保护解决方案。

据Sekoia称，2023年第三季度最流行的工具包是Dadsec OTT网络钓鱼即服务平台，其中包括大量的网络钓鱼功能。在一些大范围的攻击活动中，特别是冒充金融机构的网络攻击活动中都发现了它的身影。

多重供应链风险

2022年至2023年期间，针对开源软件供应链的攻击增加了200%。由于金融业94%的公司在数字产品或服务中都会使用开源组件，因此该行业很容易受到利用开源软件供应链漏洞的攻击。

其中一个例子就是Log4Shell漏洞及其利用，该漏洞已成为全球数千家公司获取经济利益和间谍活动的目标。

还有报告称，特别是针对银行业的供应链攻击，这表明某些威胁行为体有可能会针对银行业务发起复杂的攻击。Sekoia认为，高级威胁行动者极有可能会继续明确以银行业的软件供应链为目标进行攻击。

以金融为导向的恶意软件

Sekoia还提到了一些以金融行业为导向的恶意软件，这些恶意软件主要是为了窃取金融数据，如信用卡信息、银行凭证、加密货币钱包和其他重要数据。

移动银行木马：Sekoia对与移动银行app相关的木马数量不断增加表示特别关注，2022年的木马数量比上一年增加了一倍多，2023年仍在增加。Sekoia认为，这可能是因为越来越多的移动设备开始使用金融服务，而恶意软件也更加容易绕过双因素身份验证所导致。

间谍软件：根据Sekoia的数据显示，2023年，间谍软件（一种用于收集密码、敏感数据和按键的恶意程序）在银行业务的欺诈使用率上有很大的上升趋势。目前有一种被称为SpyNot的安卓恶意软件的功能列表中增加了针对银行应用程序进行攻击的功能。

勒索软件：金融业是勒索软件的主要目标。在2023年的第三季度，金融业是受影响最严重的行业。勒索赎金要求从18万美元提高到 4000 万美元不等，在许多情况下，黑客的赎金要求会对企业造成严重的影响。

根据Sekoia的说法，像BianLian这样利用勒索攻击影响金融业安全的攻击者已经改用基于渗透的勒索策略，不再对受害者的系统或数据进行加密。

降低网络威胁风险

金融行业更加容易受到多种安全风险的影响。虽然BEC和网络钓鱼攻击活动已经存在了一段时间，但随着时间的推移，它们将会变得更加复杂，继续影响着整个行业，并会与新兴技术一直保持同步，最近已出现了更多的间接网络攻击，

金融机构的每位员工都需要接受培训，然后识别潜在的欺诈或网络钓鱼行为。

参考及来源：https://www.cysecurity.news/2023/11/sekoia-reports-latest-in-financial.html