网络钓鱼的艺术以及如何对抗它

现代最危险的攻击载体

由Pedro Tavares,CSIRT.UBI联合创始人

网络犯罪分子继续使用网络钓鱼攻击作为有效的“网络武器”。在所有攻击载体中,这仍然是最具利用的攻击,在恶意活动中具有相关的成功率。网络钓鱼活动变得更加复杂,人们需要意识到陷入骗子的触手的危险。例如,在一家公司内,员工应受过教育,更好地了解普遍的网络钓鱼攻击,以便主动保护自己免受野外的这种攻击。

一般来说,公司没有准备争夺这种旧问题,因此过去几年攻击的次数增加。例如,在互联网上发布了数据违规之后,Cyber​​iminals可以进行几个矛网络钓鱼活动。请注意,每14个点击链接中的至少一个人都常常常见,或打开在网络钓鱼消息中共享的附件。

最常见的网络钓鱼运动

有各种类型的网络钓鱼活动“煮熟”,骗子普及。下面呈现了一些例子。

欺骗性网络钓鱼

这是指最常见的网络钓鱼攻击类型。在这里,攻击者模拟了一个合法的公司,以便将个人信息或受害者的任何凭证窃取作为访问未经授权的系统的方法。欺诈性链接通常通过恶意网站以与公司的官方领域非常相同的URL(通常只有一个字母将被放置)。

矛网络钓鱼

矛网络钓鱼被认为是网络犯罪分子的复杂方式,以获取有关受害者的信息。这些攻击通常发生在数据泄露和犯罪分子之后,自定义恶意电子邮件与受害者相关的数据,例如他们的名称,职位,公司,工作电话号码或通过社交媒体平台(如在线)发布或获得的信息linkedin。

主要目标是引诱受害者点击恶意URL或电子邮件附件,反过来让他们访问受害者的个人数据。最有效的矛网络钓鱼攻击往往是最简单的,可能在一家公司的正常日发生。例如,有关其隐私政策的公司的电子邮件将发送给受害者。当受害者打开电子邮件正文中的链接时,屏幕上呈现了预先填充的表单。在这里,犯罪分子请求受害者的其他信息,并且随着一切看起来正常程序,受害者最终陷入了向犯罪分子提供有价值信息的陷阱。

商业电子邮件妥协(BEC)攻击– CEO Fraud

首席执行官欺诈通常是BEC攻击的第二部分,攻击者冒充行政管,并使用该个人的电子邮件授权欺诈电汇转移到他们选择的金融机构。这种情况是可能的,因为公司不为员工提供足够的培训。为了抗击这种威胁,以及CEO欺诈的风险,所有公司人员,包括C级高管,都应接受安全意识培训。例如,员工应该意识到,在没有额外验证的情况下,永远无法通过电子邮件进行资产转移。

这些类型的攻击很少出现典型的垃圾邮件陷阱,因为它们不是质量电子邮件 - 受害者被犯罪分子仔细定位。

基于恶意软件的网络钓鱼活动

当攻击者向受害者发送电子邮件附件或可下载文件时,会发生这种类型的恶意活动,以利用一些漏洞或甚至从设备窃取敏感信息。单击该文件或链接后,它会触发嵌入附件中的恶意内容。此时,攻击者可以传播各种类型的恶意软件,包括计算机病毒,键盘,蠕虫,蠕虫,特洛伊木马等。在某些情况下,这种恶意软件传播给其他人并感染他们,如去年的那样,随着WANNA哭泣的赎金软件攻击。

让人们和公司远离网络钓鱼    

预防措施

  • 促进所有员工的培训
  • 许多安全问题和网络攻击是通过网络钓鱼进行的,这是一个不良网络安全的结果
  • 培训员工应该被视为防止措施和一种停止低级的有效方法

保持软件最新

拥有Web浏览器和操作系统,完全是最新的,是一个强制性的措施 - 这代表了犯罪分子传播病毒和恶意软件的第一行防线。

加密和备份

加密始终需要作为补充保护步骤。公司中最重要的IT程序之一是备份。公司的黄金法则应该是防止并最大限度地减少经过良好的网络犯罪模式后数据丢失的风险。

最后的想法      

网络钓鱼仍然是网络犯罪分子使用的主要攻击载体,它变得越来越复杂。从犯罪分子的相反方向行事至关重要,促进了公司内部的网络安全文化,通过提供培训行动,其中雇员可以提交给潜在的欺诈案件。

别忘了,人类仍然是最薄弱的目标。

关于作者

佩德罗·塔瓦雷斯 是一个网络安全专业人员和Csirt.ubi和创始人的创始成员和普斯特 seguranca-informatica.pt.。近年来,他已经投资了信息安全领域,探索和分析了广泛的主题,例如Pentesting(Kali Linux),恶意软件,黑客,网络安全,计算机网络中的IOT和安全性。

全球infosec奖项2021

我们在第9年,这些奖项非常受欢迎 - 帮助建立嗡嗡声,客户意识,销售和营销增长机会,投资机会等等。

现在申请