博客
什么是网络钓鱼?
摘要形状摘要形状

网络钓鱼是A. 网络攻击 that gathers 敏感信息 像登录凭据,信用卡号码,银行账户编号或其他财务信息,通过伪装为合法网站。 个人信息 与社会安全号码一样,电话号码和社交媒体账户信息也是执行身份盗窃的网络犯罪分子的常见目标。

通过使用欺骗诈骗欺骗受害者 社会工程学 创造一种紧迫感。一旦受害者打开网络钓鱼电子邮件或短信并点击恶意链接,他们将被带到与合法站点匹配的假网站。

常见的网络钓鱼尝试克隆金融机构,来自同事,拍卖网站,社交媒体网站和在线支付处理器的电子邮件。

尽管是最古老的网络犯罪之一,但网络钓鱼仍然是一个大的 网络威胁 对许多组织。这是由于其广泛使用和复杂的网络钓鱼活动。 Phishers正在越来越多地收集有关其目标的信息,以提高其网络钓鱼消息的有效性。 

安全意识培训是最大限度地减少网络钓鱼的好方法's 网络安全风险。网络钓鱼电子邮件也可能包含要安装的受感染附件 恶意软件 such as  勒索制造器  或者获得未经授权的访问 敏感数据 to cause a 数据泄露.

It'重要的是要记住一些 最大的数据违规行为 来自组织之外。如果你的 第三方供应商 可以访问敏感数据,然后访问它'对于让他们教育他们的员工有关网络钓鱼风险的重要性。 第三方风险第四方风险 and 供应商风险 与网络钓鱼有关必须是你的一部分 第三方风险管理框架 and 供应商风险管理 program.

网络钓鱼的目的是什么?

通常,网络钓鱼至少提供以下内容中的至少一个:

  1. 收集敏感信息: 可疑电子邮件,旨在欺骗受害者揭示登录凭据或公开个人身份信息。经典的网络钓鱼骗局正在发送数百万封电子邮件,以看起来像一个主要的银行。如果受害者点击链接和登录到网页,则网络镜头可以访问其银行帐户。 
  2. 下载恶意软件: phishers可以将受感染的文件附加到电子邮件以安装恶意软件或  勒索制造器 。这与漏洞的恶意软件不同 漏洞 like  想哭 .

什么是网络钓鱼套件?

infographic的网络钓鱼试剂盒的解剖学

网络钓鱼套件是一组工具,使人们能够轻松发射网络钓鱼活动。即使技术知识有限。 

受欢迎的网络钓鱼试剂盒镜像Microsoft,Google,Apple,Aol和PayPal等合法网站。 

一旦诈骗者在服务器上安装了网络钓鱼套件并为其网络钓鱼网站购买了域名,他们就可以开始向其目标发送电子邮件。有邮件列表和电子邮件模板的网络钓鱼套件可用于购买  暗网 .

什么是不同类型的网络钓鱼攻击?

至少有11种不同的网络钓鱼技术:

  1. 矛网络钓鱼
  2. 捕鲸
  3. 克隆网络钓鱼
  4. 浪岭
  5. 冒险
  6. 链接操纵
  7. 过滤逃避
  8. 网站伪造
  9. 隐蔽重定向
  10. tabnabbing.
  11. 药明

虽然这种方法不同,但所有网络钓鱼都依赖于某种形式的伪装。通常,所使用的网络钓鱼攻击类型将取决于Phisher已选择其目标的目标。将送到数百万潜在目标的网络钓鱼尝试将根据Microsoft,PayPal或Facebook这样的流行品牌量身定制。相比之下,矛网络钓鱼攻击将是特定的组织或个人的超级目标。 

1.什么是矛网络钓鱼?

矛网络钓鱼 是针对特定个人或组织的电子邮件或电子通信。虽然矛网络钓鱼通常用于获得  敏感数据,网络犯罪分子也可以使用它来在目标上安装恶意软件's computer.  

虽然矛网络钓鱼比垃圾邮件钓鱼需要更多的时间和精力,但由于在网络钓鱼消息中存在个人信息,它大大提高了成功的概率。 

矛网络钓鱼最着名的例子是针对希拉里克林顿的'S 2016年总统活动,威胁组-4127(花哨的熊)针对超过1,800个Google帐户,来自Contains-Google.com域名具有网络钓鱼电子邮件。

阅读我们在矛网络钓鱼的深入帖子.

2.捕鲸是什么?

捕鲸是一种矛网络钓鱼的形式,目标是高级管理人员或高级概况目标。鲸鲨'S网络钓鱼消息是针对个人的目标及其在组织中的角色。

作为一个例子,一个 捕鱼攻击 可以以首席执行官的假请求的形式来支付AWS账单并通过电子邮件发送给CTO。

捕鲸的普通目标是公司董事会成员。这是因为董事会成员有很多权威,而是aren'全职员工。他们还可以使用个人电子邮件而不是公司账户,这可能没有反网络钓鱼功能。

阅读我们深入的捕鲸.

3.克隆网络钓鱼是什么?

克隆网络钓鱼是一种网络钓鱼的形式,合法和以前交付的电子邮件用于创建几乎相同的网络钓鱼电子邮件。 

在网络钓鱼电子邮件中,电子邮件中的附件或链接被替换为恶意版本。然后从一个发出 欺骗电子邮件 旨在似乎来自原始发件人。甚至可能声称是原始电子邮件/附件的后续或更新版本。

这要求PhiSher可以访问发件人或收件箱,以获得克隆的合法电子邮件。 

什么是浪岭?

通过电话进行的熏蒸或语音网络钓鱼,并且通常针对IP语音(VoIP)服务等用户这样的用户。 

技术的改进使诈骗者更容易欺骗呼叫者ID,因此它可以从局域代码甚至是可信组织出现。 

浪花与声音深迎家的搭配是一种巨大的 网络安全风险。根据 华尔街日报,英国的能源公司首席执行官向攻击者发送了243,000美元'相信他是在手机上给他的老板的银行账户。

5.什么是糟透了?

Sms的Smising或SMS网络钓鱼是网络钓鱼。就像电子邮件网络钓鱼一样,SMISHISH消息通常包括威胁或诱惑,以单击链接或致电号码以创建紧急感并提高成功的概率。 

6.链接操纵是什么?

链接操作是一种网络钓鱼的形式,试图使恶意链接看起来属于欺骗组织。 

拼写错误的URL和子域通常由PHICHERS使用。作为一个例子,想象一下你的银行被称为全球银行。

在以下URL中 //globalbank.secure.com 看来你的网址带你到了  安全的  全球银行网站的一部分。但是,URL实际上带你到了  GlobalBank.  section of the  secure.com  website. 

另一种形式的链接操作是改变为链接显示的文本,以建议它来自可靠目的地,同时导致网络钓鱼站点。大多数桌面客户端将允许您通过悬停在它上面预览链接。但是,攻击者可以覆盖此功能,并且许多智能手机没有预览功能。

国际化域名(IDN)欺骗是另一种链接操作形式。它涉及使用几乎相同的字符来模拟合法站点的URL。 SSL证书 不要解决这个问题,因为phishers通常可以购买有效的证书并随后更改内容来欺骗真正的网站。

7.什么是过滤逃避?

过滤器逃避是Phisher使用图像以避免防护过滤器的网络钓鱼的一种形式。过滤器逃避后的想法是电子邮件客户端难以读取图像,并且非常擅长阅读纯文本。由于电子邮件客户端变得更加复杂,并且开发使用图像中的抗网络钓鱼滤波器(OCR)在图像中使用光学字符识别(OCR),这变得越来越缺乏风险。 

8.什么是网站伪造?

网站伪造使用JavaScript来改变地址栏,难以知道您是否在网络钓鱼网站上。攻击者可能会在地址栏上放置合法URL的图像,或关闭原始栏,并在没有重定向假设的情况下使用合法URL开辟一个新的栏。 

可信网站中的安全漏洞可以导致 跨站点脚本(XSS)攻击。这是特别危险的,因为用户可以导航到正确的站点并仍然存在危险。

9.什么是隐蔽重定向?

隐蔽重定向是一种网络钓鱼的形式,使链接出现合法但将受害者重定向到Phiper's site.

Covert Redicets很难发现,因为受害者可以浏览一个合法的网站,并从浏览器扩展或其他网络攻击提供恶意登录弹出窗口。

例如,您可以单击与Facebook开头的恶意链接。弹出窗口询问您是否想授权该应用程序。如果您选择授权应用程序,则将发送给攻击者和您的令牌  个人身份信息(PII) could be exposed.

这可能包括电子邮件地址,出生日期,联系人和工作历史记录。它甚至可能会给您的帐户提供攻击控制。即使你没有'T授权应用程序,您仍然可能会重定向到网络钓鱼网站。

10.什么是Tabnabbing?

tabnabbing. 是一种使用非活动选项卡的网络钓鱼攻击以及浏览器在非活动选项卡中导航的功能。 

攻击者会导致非活动选项卡重定向到网络钓鱼网站,然后等待用户导航回标签。如果用户打开受感染的选项卡并登录其凭据将被曝光。 

如果攻击者能够检查用户在其非活动选项卡中的众所周知的网站中,Tabnabbing可能非常成功。检测到后,攻击者可以用与原始站点相同的网络钓鱼登录页面替换标签。

tabnabbing,与网站伪造不同,不'T不一定需要启用JavaScript。攻击者可以使用 元刷新 元素,一个HTML属性,导致在给定时间后重新加载新页面。

11.什么是药?

Pharmining是一种依赖于一种形式的网络钓鱼攻击 人在中间攻击 即使它们键入正确的域名,也称为DNS缓存中毒,将用户从合法站点重定向到网络钓鱼站点。 

如何识别网络钓鱼攻击

成功的网络钓鱼消息通常是伪装成一个知名公司或同事,并且很难区分真实的消息。

网络钓鱼电子邮件可以包括组织's的徽标和关于组织的数据被误导。网络钓鱼消息中的恶意链接将看起来好像他们来自欺骗组织。

也就是说,人们可以接受培训以识别网络钓鱼尝试。安全意识培训可以有效,特别是在培训强调概念知识和直接反馈时。  

网络钓鱼尝试的常见迹象是:

  • 使用子域,拼写错误的URL( typosquatting.)或其他可疑的URL
  • 发件人使用Gmail或其他免费电子邮件地址提供程序,而不是公司电子邮件或域名'T不直接匹配歪曲域
  • 该消息旨在调用恐惧或紧迫感
  • 该消息包括验证个人信息(如您的银行登录详细信息或社交媒体密码)的请求
  • 这封信写得很差,并且有拼写和/或语法错误
  • 该电子邮件包含可能是恶意软件或勒索软件的意外或不寻常的附件
  • 你知道发件人's name but you don'T通常与他们沟通,特别是如果电子邮件与您的工作职责无关
  • 电子邮件中的URL与虚假组织不匹配's URL
  • 消息听起来太好了,因为你就像你一样'赢得了彩票或比赛你've never entered

查看   Phishtank.  and ,两个伟大的网站,用于保留已知的网络钓鱼网页的列表

如何防止网络钓鱼诈骗

防止网络钓鱼的最佳方法是研究网络钓鱼尝试的例子,并运行提供直接反馈的培训。利哈伊大学拥有一个很好的资源 最近的网络钓鱼例子 你可以用来训练你的员工。

为防止网络钓鱼,培训您的员工:

  • 识别网络钓鱼攻击
  • 对弹出窗口谨慎
  • 谨慎点击电子邮件中的链接
  • 将鼠标悬停在链接上以确认他们在他们期望的地方
  • 验证网站's SSL证书 匹配他们的域,仍然有效
  • 通过电话或亲自确认来自同事或老板的可疑电子邮件
  • 注意您在巧妙地发送到具有相同设计的不同网站的URL重定向
  • 检查URL是否在输入敏感信息之前预期的内容
  • 不公开可用于矛网络钓鱼或捕鲸等出生日期,地址或电话号码的个人身份信息(PII)
  • 对创造紧急感的电子邮件是谨慎的
  • 除非您知道它们是真实的,否则避免从电子邮件下载附件
  • 不在面部价值上拍摄超链接,他们可能不会带你到他们所说的地方
  • 尽可能使用双因素身份验证(2FA)

为了防止网络钓鱼电子邮件到达您的员工,请使用分层 网络安全 program including:

  • 防毒软件
  • 桌面防火墙
  • 网络防火墙
  • AntiSpyWare软件
  • antimalware软件
  • 网关电子邮件过滤器
  • Web安全网关
  • 垃圾邮件过滤器
  • 浏览器警告欺诈性网站的用户
  • 强制执行2FA.
  • 单点登录
  • 密码经理
  • 电子邮件内容缩减

此外,您的组织'S邮件服务器应使用至少一个电子邮件身份验证标准来验证入站电子邮件,例如:

  • 发件人策略框架(SPF):减少未经请求的电子邮件垃圾邮件的数量
  • Domainkeys识别邮件(DKIM):使用户能够阻止所有消息,除了被加密签名的消息
  • 基于域的消息身份验证,报告和符合(DMARC):指定SPF和DKIM用于入站电子邮件,并提供框架,用于使用这些协议更有效地阻止未经请求的电子邮件。 

如何报告网络钓鱼

如果您收到了您应该报告的网络钓鱼电子邮件或短信。 

在美国,您可以将网络钓鱼电子邮件转发给FTC垃圾邮件以垃圾邮件以垃圾邮件[email protected]@apwg.org。

对于短信,将其转发到垃圾邮件(7726)。

然后向FTC报告网络钓鱼攻击 ftc.gov/complaint..

网络钓鱼史的历史

网络钓鱼史的历史

upguard如何保护您的组织免受网络钓鱼

upguard.  helps companies like 洲际交流 泰勒炒 纽约证券交易所,IAG,第一州超级,Akamai,Morningstar和NASA保护他们的数据和 防止数据违规.

我们的平台显示您和您的供应商通过扫描Lenient SPF记录,缺乏​​SPF,DMARC未启用,打开邮件端口和40个其他Web风险,您可以易受网络钓鱼攻击的地方。 Upguard Breachsight. can help combat typosquatting. , 避免  数据违规 and  数据泄漏 ,避免监管罚款并保护您的客户'通过网络安全评级和连续曝光检测来信任。 

我们也可以帮助您 不断监控,利率和向供应商发送安全问卷 to control 第三方风险 and 第四方风险 and improve your 安全姿势, 也 自动创建库存,实施策略,并检测IT基础架构的意外更改。帮助你扩展你的 供应商风险管理第三方风险管理 and 网络安全风险评估 processes.

网络安全变得越来越重要 than ever before.

今天预订演示。

免费电子书

网络犯罪的企业后果:谁's Liable?

了解网络犯罪的企业后果,谁与这种深入的帖子负责。
白色upguard徽标
网络犯罪的企业后果:谁's Liable?
可用于下载的Upguard免费资源
学到更多

下载我们的免费电子书和白皮书

关于网络安全和供应商风险管理的见解。
白色upguard徽标
电子书,报告& Whitepapers
可用于下载的Upguard免费资源
Upguard客户支持团队Upguard客户支持团队Upguard客户支持团队

见上upguard

通过我们的网络安全专家预订免费,个性化的船上呼叫。
摘要形状摘要形状

相关文章

了解有关网络安全中最新问题的更多信息。
提供图标

注册我们的时事通讯

每周获取您收件箱中的最新策划网络安全新闻,违反,活动和更新。
摘要形状摘要形状
免费即时安全分数

您的组织有多安全?

请求免费网络安全报告以发现您的网站,电子邮件,网络和品牌的关键风险。
  •  检查图标
    即时洞察力您可以立即采取行动
  •  检查图标
    数百个风险因素,包括电子邮件安全,SSL,DNS健康,开放式端口和常见漏洞
网站安全扫描结果网站安全扫描评级摘要形状
发布时间: 2021-05-11 03:54:47

最近发表