钓鱼预防：如何识别、阻止和应对诈骗

俗话说，海里有大量的鱼。在网络安全领域，网络海洋中也有大量的钓鱼诈骗。尽管有各种警告不要上钩，但仍有太多人完全落入钓鱼尝试的圈套。

钓鱼是一种社会工程学形式，攻击者通过欺骗用户获取数据和系统访问权限。攻击者的动机包括让用户下载恶意软件、窃取登录凭证或诱骗他们共享敏感数据，如信用卡号、银行账户信息和企业数据。成功的钓鱼攻击对个人和组织都会产生 repercussions，可能导致身份盗窃、数据丢失、财务损失、业务中断、监管罚款、声誉受损以及进一步攻击的风险。

钓鱼预防需要人员、流程和技术的结合：

• 人员：指最终用户，他们是钓鱼诈骗的目标，也是第一道防线。还包括公司内进行安全意识培训的团队，以及监控、检测和响应钓鱼事件的安全团队成员。
• 流程：包括安全意识培训和钓鱼模拟，用于培训和测试员工对钓鱼尝试的反应。流程还指事件响应计划和安全策略，规定如何应对和从钓鱼事件中恢复。
• 技术：指扫描和阻止钓鱼尝试、防止账户泄露、过滤恶意网站、防止恶意软件在设备上执行等的协议、工具和服务。

让我们看看如何识别、响应、报告和预防钓鱼。

如何识别钓鱼诈骗

钓鱼邮件过去相对容易检测。昔日的“尼日利亚王子”诈骗仍然猖獗，但今天的攻击比以往任何时候都更具说服力和个性化。

当您收到可疑邮件时，请执行以下操作：

• 寻找拼写错误：许多钓鱼邮件包含语法错误和拼写错误的单词。
• 检查发件人地址：如果不认识，请保持警惕。攻击者伪造发件人地址，使邮件看似来自合法来源。检查邮件源代码中的IP地址，看是否能追溯到合法联系人。如果邮件来自真实电子邮件地址，请单独联系声称的发件人以确认邮件真实性。
• 查看问候语：通用称呼（如“亲爱的”或“客户”）或缺少名称可能表明钓鱼尝试。
• 检查发件人域：警惕非法域。评估域是否确实可信或被欺骗。例如，tectharget.com或tech1arget.com而不是真实的techtarget.com。
• 警惕制造紧迫感的邮件：许多攻击者试图通过使用紧急、时间敏感的措辞或试图吓唬人来扰乱人们。不要仓促行动而不加思考；质疑邮件及其合法性。
• 警惕要求敏感信息的邮件，切勿共享数据：切勿信任要求个人、企业或财务信息的邮件、短信或网站。合法公司从不要求此类数据。如果担心账户，请使用已知真实的电话号码联系组织。如果必须在网站上输入敏感数据，请通过在浏览器中键入URL访问。切勿点击邮件中的链接或复制粘贴。此外，通过检查浏览器栏中的锁符号并确保URL以HTTPS开头来确保网站安全。不用说但值得重复：切勿共享密码。
• 警惕冒充者：钓鱼诈骗已从对多个受害者使用一种策略的“喷洒和祈祷”活动演变为更具针对性、个性化的攻击，如鱼叉钓鱼、鲸钓和商业电子邮件妥协（BEC）。在此类攻击中，恶意行为者搜索网络以收集信息，使他们能够伪装成已知联系人并模仿合法通信和交易。

使用此清单识别和响应钓鱼攻击。

始终检查谁发送了邮件，如有疑问，请单独联系声称的发件人以确认邮件合法性。

如何响应钓鱼尝试

如果怀疑收到钓鱼诈骗，请执行以下操作：

• 寻找钓鱼指标：使用上述列表识别钓鱼。
• 勿点击链接或下载附件：切勿回复可疑消息、点击任何链接或下载任何附件。所有三种操作都可能导致恶意软件安装在计算机上。此外，切勿点击不受信任的缩短URL，如Bitly或TinyURL链接。
• 勿复制粘贴链接：切勿从可疑邮件中复制粘贴链接。虽然可以悬停查看链接目的地，但这并不总是表明链接安全。攻击者可以使用编码使URL看起来像合法链接。
• 向组织报告钓鱼邮件：一些公司有指定电子邮件地址供用户报告可疑活动。如果收到公司电子邮件地址的钓鱼消息，请尽可能报告。同样，一些易被欺骗的特定供应商和提供商有网站或电子邮件地址报告诈骗，例如Amazon、Netflix和Visa。行业团体也收集钓鱼攻击数据以关闭网站并对钓鱼者采取法律行动。向反钓鱼工作组（APWG）、互联网犯罪投诉中心（IC3）或联邦贸易委员会（FTC）等团体报告钓鱼诈骗。

如果成为钓鱼受害者该怎么办

如果怀疑已对钓鱼诈骗采取行动——点击链接、访问恶意网站或共享敏感数据——请执行以下操作：

• 报告：如果事件发生在工作设备上，请通知公司IT部门。向APWG、IC3或FTC报告事件。如果共享了信用卡或银行详细信息，请联系相关公司和三大信用局之一（Equifax、Experian或TransUnion）。监控账户是否有可疑活动和身份盗窃。
• 断开设备连接：断开互联网连接以防止感染网络上的其他设备和系统。
• 更改密码：将密码更新为唯一、从未使用过的密码。实施多因素认证（MFA）。
• 扫描恶意软件：运行防病毒和反恶意软件以检测和删除任何已安装的恶意软件。

如何在组织中预防和响应钓鱼

企业钓鱼预防包括安全意识培训计划、强凭证管理、安全工具和补丁管理。

安全意识培训 以员工安全意识培训形式的钓鱼预防是组织对抗日益大量和复杂威胁的最有效方式之一。教员工如何识别和响应钓鱼攻击。安全团队应定期培训，不仅重申钓鱼的危险，还涵盖新的和现有的威胁。在培训期间，培养安全文化。向员工解释他们在保护企业和维护网络卫生方面的角色。

凭证管理 要求员工遵循密码卫生最佳实践，如创建易于记忆但难以被攻击者猜测的密码或密码短语。不要依赖用户名/密码组合。使用MFA为密码安全添加更多层。创建概述组织指南的密码策略。

安全工具 以下工具和控制不会消除钓鱼邮件，但有助于最小化它们：

• 运行防病毒和反恶意软件。
• 部署在交付前扫描和阻止可疑邮件的电子邮件过滤工具。
• 使用可阻止可疑IP地址和网站的防火墙。
• 使用URL过滤阻止已知恶意网站。
• 安装保护免受已知钓鱼网站的Web浏览器工具栏或扩展。
• 使用反欺骗协议，包括DMARC、SPF和DKIM以防止电子邮件地址伪造。
• 使用抗钓鱼MFA。

补丁管理 安装更新并修补软件、系统和浏览器。所有主要Web浏览器都有反钓鱼功能，但如果不保持更新，它们将无法捕获最新的已知恶意网站。同样，保持所有软件和硬件（包括反恶意软件和其他工具）最新，以确保其有效对抗威胁。

额外安全措施 补充钓鱼保障包括以下内容：

• 实施最小权限原则。
• 进行定期用户访问审查。
• 使用安全监控技术早期检测攻击。
• 制定事件响应计划以应对钓鱼攻击。
• 使用端到端加密保护通信。

钓鱼攻击类型

常见钓鱼策略包括以下内容：

• 电子邮件钓鱼：这是最常见的钓鱼形式。攻击者发送带有恶意链接或附件的邮件以感染目标。
• 鱼叉钓鱼：鱼叉钓鱼更具选择性，恶意黑客向特定目标发送邮件。
• 鲸钓：鲸钓在钓鱼诈骗中针对高管，如CEO或CFO。
• VoIP钓鱼：也称为vishing，这是使用语音技术（如电话）执行的钓鱼诈骗。
• Pharming：Pharming是一种攻击，欺骗DNS服务器将合法缓存IP地址替换为恶意地址，从而在用户键入合法地址时重定向到恶意网站。
• SMS钓鱼：也称为smishing，SMS钓鱼是通过短信执行的诈骗。
• 社交媒体钓鱼：这涉及通过社交媒体平台发送的钓鱼消息。
• 搜索引擎钓鱼：也称为SEO中毒，涉及攻击者使用搜索引擎优化帮助其欺骗网站在在线搜索中排名靠前。点击欺骗站点链接的用户会看到看似合法实则恶意的页面。
• 克隆钓鱼：这涉及恶意行为者复制先前交付的邮件，但将合法链接或附件替换为恶意链接或附件。
• Angler钓鱼：Angler钓鱼发生在攻击者在虚假公司社交媒体账户上伪装成客户服务代表时。例如，在线投诉银行的客户可能会被该银行的看似合法的社交媒体账户联系以解决问题，而攻击者的真实动机是让客户下载恶意软件或共享个人信息。
• QR码钓鱼：也称为quishing，QR钓鱼欺骗用户用手机扫描QR码，导致下载恶意软件或欺骗他们共享敏感数据。
• 商业电子邮件妥协：BEC涉及攻击者冒充更高级员工，欺骗有权访问企业银行账户的员工转账或共享敏感数据。
• 深度伪造：这些假图像、视频和音频文件使用AI执行钓鱼攻击。

Sharon Shea是Informa TechTarget的SearchSecurity网站的执行编辑。