近年來，不法分子的攻擊手段愈發(fā)多樣且層出不窮——勒索軟件（Ransomware）、企業(yè)電子郵件攻擊（Business Email Compromise，BEC）、CEO欺詐（CEO scam/fraud）、魚叉式網(wǎng)絡(luò)釣魚（spear phishing）、語音釣魚（vishing）等等。許多企業(yè)客戶已經(jīng)因此蒙受數(shù)據(jù)泄露等損失，逐漸開始著眼于提升員工安全意識，建立企業(yè)安全文化。

什么是網(wǎng)絡(luò)釣魚

網(wǎng)絡(luò)釣魚是一種社會工程攻擊，通過偽裝成可信的個人或機(jī)構(gòu)來誘騙目標(biāo)泄露敏感信息（如用戶名、密碼、信用卡號等），或者點(diǎn)擊惡意鏈接，導(dǎo)致惡意軟件安裝或進(jìn)一步的網(wǎng)絡(luò)攻擊。據(jù)調(diào)查91%的成功數(shù)據(jù)泄露都是從魚叉式網(wǎng)絡(luò)釣魚攻擊開始的。

網(wǎng)絡(luò)釣魚通常通過以下方式實施：

偽造電子郵件或短信。釣魚攻擊通常通過發(fā)送相同的郵件給大量用戶，要求填寫個人信息。這些信息將被攻擊者用于非法活動。郵件通常帶有緊急提示，要求用戶輸入憑證更新賬戶信息或驗證賬戶，或者通過鏈接填寫表格以訪問新服務(wù)。

創(chuàng)建虛假的網(wǎng)站，模仿合法機(jī)構(gòu)的網(wǎng)站外觀。網(wǎng)站偽造的目的是讓用戶輸入可用于詐騙或?qū)κ芎φ甙l(fā)起進(jìn)一步攻擊的信息。

使用社交媒體消息進(jìn)行誘導(dǎo)。例如，詐騙短信試圖通過指向網(wǎng)絡(luò)釣魚網(wǎng)站的鏈接來誘騙受害者泄露個人信息。

魚叉式網(wǎng)絡(luò)釣魚。黑客想要攻擊的目標(biāo)是特定的個人或組織，他們想要的是比信用卡數(shù)據(jù)更有價值的信息。他們會對目標(biāo)進(jìn)行研究，使攻擊更加個性化，增加成功的機(jī)會。

在語音網(wǎng)絡(luò)釣魚中，網(wǎng)絡(luò)釣魚者會打電話給用戶并要求用戶撥打號碼。目的是通過電話獲取銀行賬戶的個人信息。語音釣魚主要是通過偽造的來電顯示完成的。

涉及惡意軟件的網(wǎng)絡(luò)釣魚詐騙需要在用戶的計算機(jī)上運(yùn)行。惡意軟件通常附加在網(wǎng)絡(luò)釣魚者發(fā)送給用戶的電子郵件中。一旦您點(diǎn)擊該鏈接，惡意軟件就會開始運(yùn)行。有時，惡意軟件也可能附加到可下載的文件中。

惡意廣告是包含惡意腳本的廣告，用于下載惡意軟件或強(qiáng)制將不良內(nèi)容推送到用戶電腦上。常見的攻擊方式包括利用Adobe PDF和Flash中的漏洞。

網(wǎng)絡(luò)釣魚攻擊的目標(biāo)包括個人和企業(yè)，目的是竊取信息、獲取財務(wù)利益或破壞業(yè)務(wù)。

圖1：經(jīng)典網(wǎng)絡(luò)釣魚電子郵件

如何識別和阻止網(wǎng)絡(luò)釣魚

安全主管需要知道員工收到釣魚郵件時會發(fā)生什么：他們會點(diǎn)擊鏈接嗎？被誘騙泄露憑證嗎？下載帶有惡意軟件的附件嗎？他們會直接忽略或刪除電子郵件而不適當(dāng)通知他們的安全團(tuán)隊嗎？還是他們會報告可疑的網(wǎng)絡(luò)釣魚并在人為防御層中發(fā)揮積極作用？通過提供識別和應(yīng)對潛在威脅所需的知識、技能和工具，企業(yè)可以將員工從負(fù)擔(dān)轉(zhuǎn)變?yōu)閺?qiáng)大的資產(chǎn)。

如何識別網(wǎng)絡(luò)釣魚

檢查發(fā)件人地址：仔細(xì)核對郵件發(fā)件人的地址是否與合法機(jī)構(gòu)一致，注意細(xì)微的拼寫差異。

警惕不合理的緊急請求：釣魚信息常包含緊急措辭（如“立即驗證賬戶”），目的是讓受害者倉促操作。

分析鏈接和附件： 不點(diǎn)擊郵件或短信中的可疑鏈接。鼠標(biāo)懸停在鏈接上，檢查是否指向可信網(wǎng)站。

避免泄露敏感信息：正規(guī)機(jī)構(gòu)通常不會通過電子郵件或短信要求提供密碼、銀行賬戶等信息。

檢查語法和排版：釣魚信息常含有拼寫、語法錯誤或不符合正規(guī)品牌風(fēng)格的設(shè)計。

如何阻止網(wǎng)絡(luò)釣魚

教育和培訓(xùn)：提高員工和個人的安全意識，教會他們識別釣魚攻擊。

郵件過濾：部署反釣魚郵件網(wǎng)關(guān)，攔截惡意郵件。

多因素認(rèn)證（MFA）：即使賬戶憑證被盜，MFA也能增加一層保護(hù)。

監(jiān)控和日志記錄：及時發(fā)現(xiàn)異常活動。

安全補(bǔ)丁：確保操作系統(tǒng)、瀏覽器和安全軟件保持最新。

測試：通過模擬釣魚測試來評估和增強(qiáng)員工的防護(hù)能力。

艾體寶KnowBe4如何幫助企業(yè)建立安全意識

艾體寶KnowBe4是一個致力于提供安全意識培訓(xùn)和釣魚模擬服務(wù)的平臺，幫助企業(yè)減少因人為錯誤導(dǎo)致的網(wǎng)絡(luò)威脅。它集網(wǎng)絡(luò)釣魚、安全培訓(xùn)、安全分析與一體，其服務(wù)包括：

1.有效且真實的釣魚模擬測試

提供基線測試，通過免費(fèi)的模擬網(wǎng)絡(luò)釣魚攻擊來評估用戶的 Phish-prone? 百分比。

部署一流的、全自動的模擬網(wǎng)絡(luò)釣魚攻擊、數(shù)千個無限制使用的模板、自定義網(wǎng)絡(luò)釣魚模板以及社區(qū)網(wǎng)絡(luò)釣魚模板。

根據(jù)用戶的培訓(xùn)和網(wǎng)絡(luò)釣魚歷史記錄，使用人工智能來推薦和提供知情且個性化的網(wǎng)絡(luò)釣魚活動。模擬真實的網(wǎng)絡(luò)釣魚場景，測試員工的反應(yīng)和應(yīng)對能力。

2.實時分析和報告

提供詳細(xì)報告，展示安全意識培訓(xùn)和網(wǎng)絡(luò)釣魚的統(tǒng)計數(shù)據(jù)和圖表，幫助企業(yè)了解安全意識薄弱點(diǎn)并針對性改進(jìn)。

企業(yè)級報告為用戶提供了 60多個內(nèi)置報告的集合，其中的見解可提供整個企業(yè)隨時間變化的整體視圖。

通過執(zhí)行報告，用戶將收到高級執(zhí)行級報告，以便幫助企業(yè)的安全計劃做出有效的數(shù)據(jù)驅(qū)動決策。

最后，企業(yè)可以使用行業(yè)基準(zhǔn)將自己的網(wǎng)絡(luò)釣魚傾向百分比、安全意識熟練度分?jǐn)?shù)和安全文化分?jǐn)?shù)與行業(yè)中的其他企業(yè)進(jìn)行比較。

3.全面的安全意識培訓(xùn)

提供結(jié)構(gòu)化的培訓(xùn)計劃，涵蓋網(wǎng)絡(luò)釣魚、社會工程、惡意軟件識別等。

提供世界上最大的安全意識培訓(xùn)內(nèi)容庫；包括交互式模塊、視頻、游戲、海報和新聞通訊。

擁有移動端的APP，可隨時隨地在手機(jī)、平板等終端上輕松查看培訓(xùn)互動模塊視頻。

通過 KnowBe4，企業(yè)可以利用用戶評估來發(fā)現(xiàn)在整個安全意識培訓(xùn)過程中，企業(yè)的用戶既了解安全知識又了解安全文化。企業(yè)還將收到基于網(wǎng)絡(luò)釣魚安全測試活動中用戶表現(xiàn)指標(biāo)的人工智能驅(qū)動的培訓(xùn)建議。

優(yōu)勢：通過安全意識培訓(xùn)和持續(xù)測試，KnowBe4能幫助企業(yè)顯著降低因釣魚攻擊導(dǎo)致的安全事件，同時強(qiáng)化企業(yè)文化中的安全意識。

圖2：KnowBe4報告部分內(nèi)容展示

圖3：KnowBe4網(wǎng)絡(luò)釣魚報告部分內(nèi)容展示

審核編輯 黃宇