信息來源：企業(yè)網(wǎng)

近日，全球知名的應(yīng)用交付廠商F5發(fā)布了《2018年網(wǎng)絡(luò)釣魚和欺詐報(bào)告：節(jié)假日為攻擊峰值》。

據(jù)報(bào)告顯示，2018年10月、11月和12月的欺詐事件比往年攀升了超過50%。其中，網(wǎng)絡(luò)釣魚仍然是首選渠道，釣魚者通過盜取登錄認(rèn)證和信用卡號碼等私密信息而實(shí)現(xiàn)犯罪。

該報(bào)告指出了網(wǎng)絡(luò)釣魚的幾個(gè)關(guān)鍵點(diǎn)，包括手段、目標(biāo)等：

1.主要手法是盜用身份：從2018年9月1日到10月31日，71%的虛假釣魚案例均是偽裝成10家頂級科技行業(yè)公司，從而獲得受害者的信任并實(shí)現(xiàn)欺詐。

2.重點(diǎn)攻擊對象是金融機(jī)構(gòu)：無疑，金融機(jī)構(gòu)擁有大量的資金，這讓他們成為釣魚者的首選目標(biāo)。但F5預(yù)計(jì)，未來針對電子商務(wù)和物流行業(yè)的詐騙比重將會持續(xù)上升。

說起來，網(wǎng)絡(luò)釣魚并不罕見，它通過一個(gè)心理誘餌，一步步引導(dǎo)受害者，讓受害者以為該虛假網(wǎng)絡(luò)程序和應(yīng)用是真實(shí)可信的，進(jìn)而掉進(jìn)“圈套”。這個(gè)過程可分解為如下步驟：

a.目標(biāo)選擇：

即尋找合適的受害者，特別要透過電子郵件地址和背景信息，總結(jié)出一個(gè)具有吸引力的心理痛點(diǎn)。

b.社交機(jī)制：

布置恰當(dāng)?shù)脑p騙誘餌，誘使受害者掉入陷阱，以竊取他們的賬戶并植入惡意軟件。在魚叉式網(wǎng)絡(luò)的釣魚案例中，這種誘餌是針對目標(biāo)受害者而定制的。每當(dāng)年終歲尾，網(wǎng)絡(luò)釣魚者會利用年終和節(jié)假日的各類活動包裝出偽裝外衣。

c.技術(shù)工程：

釣魚者躲避開安全程序的掃描，以構(gòu)建虛假網(wǎng)站，制作惡意軟件等技術(shù)性方法開展詐騙。

針對網(wǎng)絡(luò)釣魚，一方面要加強(qiáng)安全意識培訓(xùn)，另一方面是控制員工郵箱中的釣魚電子郵件。

據(jù)了解，通過培訓(xùn)員工辨別網(wǎng)絡(luò)釣魚騙局，企業(yè)能有效地將惡意電子郵件，鏈接和附件的點(diǎn)擊率從33%降低到13%。

對普通消費(fèi)者來說，F(xiàn)5給出了三個(gè)建議：

1. 減少URLS應(yīng)用：盡量減少在如bit.ly這類服務(wù)網(wǎng)址上的瀏覽時(shí)間，因?yàn)樗麄兌伎梢允菒盒缘摹Ｓ脩魬?yīng)該打開新的瀏覽器選項(xiàng)卡，并搜索涉及到的有關(guān)內(nèi)容或網(wǎng)站。

2. 重視安全證書警告：警告會顯示在用戶瀏覽器，以提示當(dāng)前登錄網(wǎng)站的安全證書無效，或尚未由受信任的機(jī)構(gòu)頒發(fā)證書。如果用戶認(rèn)為該網(wǎng)站合法，不該忽略警告，應(yīng)另在單獨(dú)的瀏覽器窗口中搜索該網(wǎng)站。

3. 認(rèn)真檢查網(wǎng)址：偽造的網(wǎng)絡(luò)釣魚網(wǎng)站往往精心制作，偽裝出充分的合法性。因此，在提供登錄認(rèn)證或帳戶等任何個(gè)人信息之前，用戶應(yīng)養(yǎng)成認(rèn)真檢查地址欄中網(wǎng)址的習(xí)慣。

對企業(yè)來說，隨著網(wǎng)絡(luò)釣魚變得愈加復(fù)雜和精明，安全意識培訓(xùn)對于保護(hù)企業(yè)和員工免受依托技術(shù)的網(wǎng)絡(luò)釣魚詐騙變得至關(guān)重要。

其中，包括電子郵件標(biāo)簽，防病毒(AV)軟件，Web過濾和多因素身份驗(yàn)證等諸多方面的措施。

因此，企業(yè)需要構(gòu)建出一個(gè)涵蓋員工、流程和技術(shù)的綜合可控安全架構(gòu)。