10种类型的网络钓鱼攻击和网络钓鱼诈骗

网络钓鱼攻击每年都会对企业造成重大损失和损害

谷歌和Facebook的损失总计超过1亿美元。比利时克里兰银行向网络犯罪分子交付了超过7500万美元。奥地利航空零部件制造商FACC损失了6100万美元。是什么导致了这些类型的大规模损失？这些组织中的每一个都是不同（和昂贵）类型的网络钓鱼攻击的受害者。

什么是网络钓鱼攻击？

一般来说，网络钓鱼诈骗是一种网络攻击，网络犯罪分子利用这种网络攻击来让用户执行某种类型的操作。这些电子邮件通常是大量发送的，其目的是欺骗毫无戒心的个人为他们的骗局而堕落。

现在，每天都有针对企业的各种网络钓鱼攻击。有些涉及使用电子邮件和网站; 其他人可能会使用短信甚至是电话。攻击使用这些方法的目的是让用户提供个人或帐户信息或将电汇资金转帐到欺诈帐户。网络犯罪行业正达到前所未有的水平.

Cybersecurity Ventures报告称，到2021年，网络犯罪的损失预计每年将耗费6万亿美元 – 其中预计网络钓鱼将发挥重要作用。 实际上，企业每天都有多种类型的网络钓鱼诈骗。

首席执行官欺诈/商业电子邮件妥协

我们将讨论的第一种网络钓鱼被称为CEO欺诈。简而言之，当网络犯罪分子向较低级别的员工（通常是在会计或财务部门工作的人）发送电子邮件时，就会发生首席执行官欺诈行为，同时假装成为公司的首席执行官或其他高管，经理等。电子邮件通常是让受害者将资金转移到虚假账户。您即将到来的琐事之夜只是一些奖励信息：在美国，首席执行官欺诈通常被称为企业电子邮件泄密（BEC），联邦调查局称这会使企业损失数十亿美元。

提供了一个真实的CEO欺诈电子邮件示例，我从一位试图成为SSL Store™首席执行官John Tuncer的人那里收到：

在这种情况下，我很容易告诉它不是来自他。例如，电子邮件发件人列为John Tuncer，但电子邮件地址不是他的电子邮件帐户。其次，看一下电子邮件是如何写的,句子的第一部分和第二部分之间没有空格。复制和粘贴信息时经常会出现这种情况。此外，拼写错误在电子邮件中与在字段中存在杂草一样常见。

克隆网络钓鱼

克隆网络钓鱼攻击背后的想法是利用受害者可能已收到的合法邮件并创建其恶意版本。攻击会创建合法邮件的虚拟副本 – 因此，攻击的名称很聪明 – 并从看似合法的电子邮件地址发送邮件。原始电子邮件中的任何链接或附件都会被换成恶意的链接或附件。 网络犯罪分子经常使用他们重新发送原始邮件的借口，因为上一封电子邮件的链接或附件存在问题，诱使最终用户点击它们。我们希望我们可以说这不起作用; 不幸的是，它经常这样做，因为它吸引用户不知不觉。

域欺骗

我们想要提及的下一种网络钓鱼被称为域欺骗。这种攻击方法使用电子邮件或欺诈性网站。当网络犯罪分子“欺骗”组织或公司的域名时，就会发生域欺骗： 让他们的电子邮件看起来像是来自官方域名，或者 通过采用真实网站的设计并使用类似的URL或Unicode字符看起来像ASCII字符，使假网站看起来像真正的交易。

在基于电子邮件的攻击的情况下，网络犯罪分子伪造新的电子邮件标题，使其看起来像电子邮件来自公司的合法电子邮件地址。在网站域欺骗中，网络犯罪分子创建了一个欺诈性网站，并且网站看起来合法或接近原始网站。

邪恶的双胞胎

与我们在本文中提到的其他网络钓鱼方法不同，恶意孪生攻击是一种利用Wi-Fi的网络钓鱼形式。trustauth.cn将一个邪恶的双胞胎描述 为“一个伪装成合法的Wi-Fi接入点的流氓无线接入点，以便攻击者可以在没有最终用户知情的情况下收集个人或公司信息。”此类攻击也被称为作为星巴克骗局，因为它经常发生在咖啡店。

邪恶的双网络钓鱼涉及一个网络犯罪分子，创建一个看似真实的Wi-Fi热点 – 他们甚至会使用与真实网络相同的设置服务标识符（SSID）。当最终用户连接时，攻击者可以窃听他们的网络流量并窃取他们的帐户名，密码，并查看用户在连接到受感染的热点时访问的任何附件。

HTTPS网络钓鱼

事实上，58％的网络钓鱼网站现在通过HTTPS提供服务。网络犯罪分子在这些攻击中使用的方法是在电子邮件正文中发送只带有合法外观链接的电子邮件。除了链接本身（可能是可点击的或非活动链接，要求收件人将URL复制并粘贴到其网址栏中）之外，通常没有其他内容。 那么为什么有人会故意点击这样的电子邮件？简短的回答是因为攻击者使用各种社交工程策略欺骗电子邮件收件人点击链接或将URL复制并粘贴到他们的Web浏览器中（这使得这种类型的网络钓鱼邮件很难被过滤器检测到） 。这包括从看似合法的电子邮件地址发送邮件 – 例如来自收件人的老板，同事或CEO。

微笑

短信网络钓鱼或“网络钓鱼”是一种网络钓鱼形式，利用了世界对短信和即时通信的依赖。有没有收到过Chipotle的短信？Ticketmaster怎么样？Smishing是网络犯罪分子通过发送看似来自合法来源并包含恶意URL以便点击的文本消息来诱使用户下载恶意有效负载的一种方式。这可能是伪装成优惠券代码的东西,您下次购买墨西哥卷饼20％的折扣 – 或者它可能是赢得即将到来的节目免费门票的优惠。

避免成为受害者攻击的一种方法是参考美国短代码目录 – 是的，这样的事情确实存在 – 以查看该消息是否是从合法来源发送的。但是，避免它的最佳方法是不要使用任何未经请求的短信。如果您没有注册文本通知，请不要在收到此类文本时单击该URL。如果对信息的真实性有疑问，只需依靠父母和/或老师小时候教给你的课程：不要与陌生人交谈。

鱼叉式网络钓鱼

一个鱼叉式网络钓鱼攻击是网络钓鱼的目标形式。与一般的网络钓鱼电子邮件不同，这些电子邮件使用类似垃圾邮件的策略在大规模电子邮件活动中爆炸成千上万的人，而鱼叉式网络钓鱼电子邮件则针对组织内的特定个人。他们使用社交工程策略来帮助定制和个性化电子邮件给他们的目标受害者。他们可能会使用电子邮件主题行作为电子邮件收件人感兴趣的主题，以欺骗他们打开邮件并单击链接或附件。

为什么长矛网络钓鱼如此重要？因为91％的网络攻击都是从鱼叉式网络钓鱼邮件开始的。目标通常是窃取数据或将恶意软件安装到收件人的计算机上以访问其网络和帐户。遗憾的是，传统的安全方法可能无法阻止这些类型的攻击，因为它们的定制程度非常高，以至于很多传统的垃

Vishing

“vishing”是“语音网络钓鱼”（通过电话进行网络钓鱼），那么您就是正确的。当犯罪分子打电话给您试图让您提供个人或财务信息时，就会发生前瞻性攻击。他们经常使用自动呼叫来重新路由那些因战术而陷入困境并最终与犯罪分子自己交谈的人。他们还使用移动应用程序和其他技术来欺骗他们的电话号码或完全隐藏他们的电话号码。

这些攻击者经常使用各种社交工程策略来诱骗您提供此信息。众所周知，他们假装是其他人 – 美国国税局，您的银行，或贵公司的一位声称在另一家分公司工作的高管。他们会声称您欠税，或者您的信用卡有可疑活动，需要立即关闭……他们首先只需要“验证”您的个人信息，然后才能关闭卡并重新签发新卡。 。

浇水孔网络钓鱼

这种鲜为人知的网络钓鱼攻击类型让人想起动物王国的场景。想象一下塞伦盖蒂在一个水坑里的一群斑马，羚羊和其他生物。为了让自己冷却，他们靠近水边，靠近喝水。一只斑马决定变得更凉爽，并且从牛群到水中走得太远。突然间，一条鳄鱼从水面下突然爆起并抓住它们，拖着它们。

水坑网络钓鱼攻击的目标是：

识别贵公司或员工最常访问的特定网站，以及用恶意软件感染其中一个网站。

选择用于感染的站点可能是您公司使用其服务的供应商。目标是感染网站，以便当您或您的员工访问时，您的计算机将自动加载恶意软件。这将为攻击者提供对您的网络，服务器和敏感信息（如个人和财务数据）的访问权限。

访问感染网站的其他人是否会成为攻击的受害者？当然。但它们只是附带损害，也是网络犯罪分子的额外受害者。

捕鲸

捕鲸是一种鱼叉式网络钓鱼，很像CEO欺诈的反转版本。网络犯罪分子不是针对组织内的低级别人员，而是针对高层管理人员，如首席执行官，首席财务官和首席运营官。目标是欺骗行政部门披露敏感信息和公司数据。这些目标是经过精心挑选的，因为它们在组织内具有访问权限。这些攻击经常使用电子邮件和网站欺骗。 与一般的网络钓鱼电子邮件不同，这些邮件依赖于社交工程策略，使用从互联网和各种社交媒体平台获取的信息。它们非常适合他们的受众，通常包括： 受害者的名字， 职称，和 使通信看起来合法的基本细节。 还有其他类型的网络钓鱼攻击 – 邪恶的双胞胎，雪鞋行走 – 但如果我们继续谈论所有这些攻击，我们会让你整天待在这里。

防止多种类型的网络钓鱼攻击的其他技巧包括：

使用密码管理器 – 受信任的密码管理器使您的员工可以为每个帐户拥有并使用复杂安全的密码，而无需记住所有帐户的麻烦。

启用双因素身份验证（2FA） – 此保护措施需要多条信息才能让某人能够登录。它需要以下两项： 你知道的东西（密码，密码等）; 你拥有的东西（移动应用程序，智能卡，个人令牌等）; 和/或 你是什么（生物识别，如视网膜扫描，指纹等）。

使用发件人策略框架（SPF） – 这是一种电子邮件验证系统，允许域管理员授权特定主机使用域。

通过官方渠道验证可疑通信 – 如果您收到声称是您银行的人的电话，请挂断电话并使用卡背面的电话号码直接致电您的银行。如果您收到自称是首席执行官的人发来的电子邮件，要求您转账，发送敏感数据或其他任何远程可疑的信息，请在官方公司电话线上给他们或他们的助理打电话。不要依赖可疑通信中提供的联系信息。

使用安全和加密的网站,确保您的网站,以及您访问的网站是安全和加密的。这意味着访问使用安全协议（HTTPS）而不是不安全协议（HTTP）的网站。您可以使用SSL / TLS证书保护您的网站，该证书可保护您的站点与最终用户的Web浏览器之间传输的数据。