网络钓鱼新手段：通过虚假在线表单窃取个人信息

网络威胁日益复杂，钓鱼攻击也不例外。在众多网络犯罪手段中，通过模仿知名公司并复制其在线表单来开展钓鱼活动，已成为窃取用户敏感信息的快速、经济且具有欺骗性的简单方法。第一季度Gen威胁报告揭示的这些攻击成功率惊人上升，充分说明了网络犯罪分子如何利用技术和人类信任的弱点。本文探讨这些攻击的工作原理、为何如此有效，以及如何保护自己。

理解通过在线表单进行的钓鱼攻击

钓鱼攻击利用了人类信任这一非常人性化且通常必要的特质。这些攻击通过模仿合法可信的网站或服务，诱使用户提供个人信息。通过在线表单进行的钓鱼攻击利用网站构建器和动态DNS（DDNS）等工具，创建看似真实的虚假登录或数据提交页面。

毫无戒备的用户可能会点击电子邮件中的链接，这些邮件声称其账户已被封锁，或敦促立即采取行动以避免服务中断。这些电子邮件将用户引导至要求提供登录详情、支付信息或其他敏感个人数据的伪造表单。

一旦受害者输入其信息，攻击者就会收集这些信息，并将其用于身份盗窃、金融欺诈甚至进一步的网络攻击等目的。

攻击者如何利用在线网站构建器

像Weebly和Wix这样的在线网站构建器是无需编码技能即可创建网站的流行工具。它们的可访问性和用户友好的拖放界面不仅吸引了合法用户，也吸引了网络犯罪分子。

钓鱼者利用此类合法平台，是因为它们提供了受信任的托管域名和可自定义子域名等优势。这些元素使得钓鱼页面更难被检测，并允许它们绕过电子邮件垃圾邮件过滤器或防病毒软件。

攻击者经常创建模仿知名品牌的子域名以显得更合法。常见的例子包括：

• updatefacebookmeta[.]weebly[.]com
• outlookauthenticationmicrosoft[.]weebly[.]com
• myfmsbank[.]weebly[.]com

这些URL乍看之下可能显得合法，特别是对于忙碌或不熟悉识别钓鱼尝试的人来说。

除了网站构建器，攻击者越来越多地使用动态DNS（DDNS）服务和像DuckDNS这样的子域名提供商。这些服务允许创建模仿大公司的子域名以欺骗用户。通过利用DDNS，攻击者为其活动增加了灵活性，使得只需最少努力即可轻松扩展操作。

为何这些页面具有欺骗性效果

一些钓鱼页面惊人地复杂，紧密模仿大公司或机构的合法登录表单。其他则构建粗糙，带有不一致布局、不匹配字体或可见密码等危险信号。然而，即使是低投入的钓鱼页面也可能成功，因为它们通常托管在受信任的域名上，使得过滤器更难检测。

常见警告信号

以下是一些钓鱼页面的指示标志，即使在受信任平台上托管也需注意：

• 不匹配或不专业的设计
• 不掩盖密码的登录页面
• 不相关或可疑的菜单项
• 看似奇怪或包含拼写错误的子域名名称

明显的钓鱼页面示例，显示常见警告信号

保护自己免受钓鱼攻击

虽然钓鱼活动变得越来越难检测，但您可以采取明确步骤保护自己和个人数据：

• 仔细检查URL：检查子域名和域名中的拼写错误或不相关元素。托管在"weebly.com"之类的登录页面是一个主要危险信号。
• 启用双因素认证（2FA）：即使您的凭据被泄露，2FA也增加了额外的安全层，防止攻击者访问账户。
• 寻找安全指示符：确保网站在地址栏中显示挂锁图标，且URL以"https"开头。但请记住，即使安全连接也不能保证合法性。
• 对紧急电子邮件保持警惕：大多数钓鱼电子邮件依赖紧急性来欺骗毫无戒备的受害者。在点击要求立即采取行动的电子邮件中的链接前请三思。
• 使用可靠的防病毒和反钓鱼工具：具有更新钓鱼检测功能的安全软件可以帮助在您受害前识别恶意链接。
• 报告可疑页面：如果遇到钓鱼页面，请向托管平台或安全组织报告。

领先于新兴威胁

底线是，利用在线表单的钓鱼活动很可能仍然是网络犯罪分子的流行策略，因为它们快速、经济且有效。然而，提高意识结合更智能的安全措施可以帮助减轻这些威胁，并保护用户在线安全。

每个用户都有能力破坏钓鱼诈骗的成功率。通过保持警惕和知情，我们可以集体使攻击者在一个日益数字化的世界中利用信任变得更加困难。