警惕網路釣魚

網路釣魚是一種網路攻擊,是指具有惡意動機的攻擊者偽裝成信譽良好的企業以欺騙人們並收集其信用卡詳細資訊、用戶名或密碼等敏感資訊的一系列行為。由於網路釣魚涉及心理操縱並依賴於人為失誤(而不是硬體或軟體漏洞),因此被認定為是一種社會工程攻擊。

通常,網路釣魚攻擊會利用欺詐性電子郵件誘使用戶在欺詐性網站中輸入敏感資訊。這些電子郵件通常會通過要求用戶重置密碼或確認信用卡資訊,致使他們登入與原始網站非常相似的虛假網站。網路釣魚的主要類型是複製式網路釣魚、魚叉式網路釣魚和域欺騙。

網路釣魚攻擊也存在於加密貨幣的生態系統中,在這種環境下,惡意行為者試圖從用戶那裏竊取比特幣或其他數字貨幣。舉例來說,攻擊者可以偽造一個網站,將錢包地址改為他自己的,從而讓用戶以為他們進行的是合法的付費服務,而事實上,攻擊者正在竊取他們的財產。

網路釣魚分為哪些類型?

網路釣魚通常根據目標和攻擊媒介分為許多不同的類型,以下是一些常見的例子:

  • 複製式網路釣魚:攻擊者使用一封已發出的合法電子郵件,複製出一封含有惡意網站鏈接的類似郵件之後,攻擊者可以聲稱這是一個更新過的或全新的鏈接,而舊的鏈接已經過期。
  • 魚叉式網路釣魚:這種類型集中攻擊一個人或機構——通常是知名的。魚叉式攻擊由於需要偽裝身份,所以比其他網路釣魚類型更加複雜。攻擊者首先要收集有關受害者的資訊(例如朋友或家庭成員的姓名),然後根據此數據構建一條消息,主要用來引導受害者訪問惡意網站或下載惡意檔。
  • 域欺騙:攻擊者會破壞DNS記錄,將合法網站的訪客引至攻擊者事先布好的欺詐網站。這是上述類型中最危險的攻擊,由於DNS記錄不在用戶的控制之內,因此用戶無法防範。
  • 鯨釣:一種針對富人和重要人士——例如CEO和政府官員的魚叉式網路釣魚。
  • 電子郵件欺騙:用於網路釣魚的電子郵件通常會偽造與合法公司或人員的通信。此類郵件會向不知情的受害者提供惡意網站的鏈接,待點擊後攻擊者可以通過使用巧妙偽裝好的登錄頁面來收集登錄資訊和PII。這些頁面可能包含特洛伊木馬、鍵盤記錄程式以及其他竊取個人資訊的惡意腳本。
  • 網站跳轉:網站跳轉將用戶引至不同於原本網址的URL。利用網站漏洞的攻擊者會植入跳轉(功能)並將惡意軟體安裝到用戶的電腦上。
  • 註冊近似功能變數名稱:註冊近似功能變數名稱的釣魚手段是將流量引導到使用外文、具有常見拼寫錯誤、或是使用稍微變換的頂級功能變數名稱的偽造網站。網路釣魚者用域來模仿合法網站的介面,從而欺騙輸錯或誤讀URL的用戶。
  • “水坑”:在水坑攻擊中,網路釣魚者先對用戶進行分析並找出他們經常訪問的網站,然後掃描這些網站以檢查是否存在漏洞,並盡可能針對下次訪問植入設計好的惡意腳本。
  • 冒名頂替與免費贈品:冒充社交媒體上有影響力的人物是網路釣魚中的另一種伎倆。釣魚者會冒充公司的主要領導者,並且針對他們的受眾宣傳贈品或實施其他的騙局。釣魚者甚至可以通過社會工程尋找容易上當的用戶,從而單獨定位這種騙局的受害者。“演員”們可以破解認證用戶的登錄資訊並修改用戶名以冒充真人,同時保證認證良好的狀態。受害者更有可能與看似有影響力的人物互動並提供PII,為網路釣魚者創造可利用其資訊的機會。近來,網路釣魚者出於同樣的目的集中針對Slack,Discord和Telegram這樣的平臺,來使用聊天行騙、冒充別人、以及偽裝合法服務等手段來進行釣魚攻擊。
  • 廣告:付費廣告是應用於網路釣魚中的另一種策略。這些虛假廣告使用”註冊近似功能變數名稱”並付費將其推送到搜索結果。這些網站甚至可能成為搜索合法公司或服務後得到的的熱門搜索結果。它們通常被用作網路釣魚獲取敏感資訊的手段,其中可能包括你交易帳戶的登錄資訊。
  • 惡意應用程式:網路釣魚者還可能將惡意應用程式用作植入惡意軟體的載體,以監控你的行為或竊取敏感資訊。他們可能把應用程式偽裝成價格跟蹤軟體、錢包、和其他與加密貨幣相關的工具(已有一些傾向於交易和持有加密貨幣的用戶群)。
  • 短信及語音釣魚:短信釣魚,一種基於短信的網路釣魚形式,以及語音釣魚,基於語音或電話等效的釣魚形式,是攻擊者試圖獲取個人資訊的其他方式。

網路釣魚與域欺騙

儘管有些人將域欺騙視為一種網路釣魚攻擊,但它依賴於一種不同的機制。網路釣魚和域欺騙之間的主要區別在於,在網路釣魚攻擊中,受害人必須自己做出錯誤的行為,而域欺騙只需要受害者嘗試訪問一個DNS記錄被攻擊者成功攻擊的合法網站。

如何防止網路釣魚?

  • 保持警惕:對網路釣魚的最佳防禦方法是對收到的電子郵件進行判斷和審查。你是否本應從發件人處收到關於此主題的電子郵件?你是否懷疑此人正在向你索要與他業務無關的資訊?如果存在上述疑問,請試圖通過其他方式與發件人聯繫。
  • 檢查內容:你可以在搜索引擎上輸入部分內容(或發件人的電子郵件地址),以檢查是否有使用該方法的網路釣魚攻擊記錄。
  • 嘗試其他方法:如果你認為你收到了一個合法請求以確認熟悉業務的帳戶資訊,請嘗試通過不同方式執行此操作,不要點擊電子郵件中的鏈接。
  • 檢查URL:將滑鼠移動到鏈接上,不要點擊,檢查一下這個鏈接是否以HTTPS開頭而非HTTP。但請注意,僅僅檢查過開頭並不能保證網站是可靠的,仔細檢查網址裏是否存在拼寫錯誤、特殊字元和其他不尋常之處。
  • 不要分享你的私鑰:永遠不要把你的比特幣錢包的私鑰給別人,並警惕地判斷你要給的任何加密貨幣的產品和賣家是否合法。與信用卡相比,處理加密的不同之處在於,如果您從未收到約定的商品或服務,那麼政府不會對收費提出異議。這就是為什麼在處理加密貨幣交易時必須特別小心的原因。

結論

網路釣魚是最廣泛和最常見的網路攻擊技術之一。雖然主流服務的電子郵件過濾軟體可以有效地過濾虛假消息而留下真正的郵件,但仍需小心保持好最後一道防線。警惕任何試圖從你那裏獲取敏感或私人資訊的行為,如果可能的話,通過發送方和請求是合法的管道來確認資訊。避免在電子郵件中點擊有關安全事件的鏈接,並根據自己的方式轉到該網頁,同時也要注意URL開頭的HTTPS是否正確。最後,對於加密貨幣交易要特別小心,因為在商戶堅持到交易結束的情況下,無法逆轉這些交易。永遠保持你的私鑰和密碼的私密性,不要輕易相信任何資訊。