网络钓鱼 101：网络钓鱼攻击初学者指南

目录

• 1. 什么是网络钓鱼？

• 2. 网络钓鱼如何运作

• 3. 网络钓鱼的类型

• 4. 网络钓鱼诈骗：概述

• 5. 如何防止网络钓鱼攻击

• 6. 如何举报网络钓鱼

什么是网络钓鱼？

网络钓鱼可以被描述为一种网络犯罪，其中冒充合法机构的个人或团体通过电子邮件、电话或消息联系受害者。

目的是引诱受害者提供敏感数据，如个人信息、银行详细信息、信用卡详细信息和密码。然后使用这些数据来识别重要目标并欺骗这些受害者。

网络钓鱼已经发生多年：第一次网络钓鱼诈骗发生在 90 年代，人们冒充 AOL 管理员。这些人从受害者那里收集了登录凭据，以便他们可以免费访问互联网。

2000 年 5 月，另一个名为 Love Bug 的网络钓鱼诈骗在菲律宾开始。您会在邮箱中收到一条标题为“ILOVEYOU”的消息。然后，邮件正文将指示您点击附件，然后在您的系统上释放病毒。从那时起，多年来，网络钓鱼的复杂性和使用方式都在演变。

网络钓鱼如何运作

现在是星期一早上，您正在整理电子邮件并清理垃圾邮件文件夹。出于好奇，你打开一封电子邮件，内容令人震惊。有人声称是您银行的代表。

您的账户即将停用，您需要点击链接或提供敏感的银行信息，以免丢失您的银行账户。这就是网络钓鱼的发生方式：就像为您发送数据而编写的随机消息。

网络钓鱼通常使用操纵作为其主要工具。通常通过短信、电子邮件甚至社交媒体消息发送的消息都是为了引起恐惧和紧迫感而编写的。目标是在社交媒体等公共信息来源上确定的。

一旦确定了目标姓名、职位、个人详细信息和电子邮件地址，就会制作和发送可信的消息。这些消息通常包括恶意链接、附件或响应敏感信息的调用。

网络钓鱼的目的可能是安装恶意软件、将受害者重定向到欺诈性网站、获取密码和银行详细信息以及欺诈目标。网络钓鱼者经常使用不同的技巧来欺骗他们的受害者，他们试图尽可能地显得合法。他们可能会使用公司徽标、模仿官方电子邮件和隐藏 URL 来欺骗受害者。

网络钓鱼的类型

有不同类型的网络钓鱼：我编制了一份最常见的网络钓鱼诈骗类型及其发生方式的列表。网络钓鱼的类型有：

•电子邮件网络钓鱼：这是最常见的网络钓鱼类型，受害者会收到电子邮件，通知他们他们的个人帐户已被盗用，需要立即响应。电子邮件网络钓鱼旨在营造一种紧迫感，让受害者点击导致虚假登录页面的恶意链接。敏感的个人信息会直接发送给诈骗者。

•HTTPS 网络钓鱼：在 HTTPS 网络钓鱼中，黑客可能会通过使用过期的 SSL 证书来访问安全对话，或者通过将 HTTPS 站点降级为 HTTP 来去除安全网站的加密。然后创建类似于组织网站的虚假网站，并在电子邮件中链接。然后，网络钓鱼者使用组织 ID 向员工发送虚假电子邮件，渗透组织并窃取有价值的数据。

• 鱼叉式网络钓鱼：鱼叉式网络钓鱼用于针对特定的个人、团体和组织。鱼叉式网络钓鱼通常涉及对目标和公开信息来源的研究。鱼叉式网络钓鱼的目标是访问个人帐户或冒充高级员工以及拥有机密信息的员工。通常会发送一封包含目标名称、等级和附件的电子邮件以进行鱼叉式网络钓鱼。

•捕鲸：捕鲸是一种鱼叉式网络钓鱼，通常针对高层管理人员。诈骗者伪装成合法来源，并鼓励受害者分享敏感信息或电汇大量资金。捕鲸通常以来自受信任来源（如公司联系人、合作伙伴、供应商或客户帐户）的电子邮件形式出现。电子邮件通常包含从互联网收集的个人数据或参考资料，以显得值得信赖。该电子邮件可能包含指向收集信息或安装恶意软件的虚假网站的链接。或者，电子邮件可能包括对工资单、纳税申报表、银行帐号等敏感数据的请求，或通过电汇向特定账户转账的请求。捕鲸是为了从高层管理人员那里窃取数据或金钱。

• Smishing ：Smishing，也称为SMS 网络钓鱼，是一种网络钓鱼形式，受害者被欺骗点击链接或通过短信提供私人信息。通过使用基本目标信息（例如姓名、年龄和位置）来完成粉碎。如果短信中包含链接，则可能会导致伪造网站或旨在破坏手机的恶意软件。该恶意软件可用于窥探用户的电话数据或将敏感数据发送到攻击者控制的服务器。 Smishing 有不同的形式：从说明您遇到麻烦的消息到显示您赢得包裹的消息。

• 网络钓鱼：网络钓鱼或语音网络钓鱼是一种网络钓鱼形式，其中受害者被操纵通过电话和语音消息泄露银行详细信息和信用卡号码等个人信息。在大多数情况下，诈骗者假装来自银行、税务部门、警察或政府等知名组织。 Vishing 是通过使用威胁和令人信服的语言来完成的，让受害者相信他们必须立即回电，否则将面临被捕和丢失银行账户的风险。

•钓鱼者网络钓鱼：钓鱼者网络钓鱼是一种网络钓鱼，其中诈骗者使用社交媒体平台和帐户伪装成客户支持人员。钓鱼者网络钓鱼通常针对在社交媒体上抱怨组织服务的不满客户。当假客户员工向他们发送直接消息时，这些客户被诱骗泄露他们的数据。该消息将要求提供个人信息或链接到虚假站点，然后该站点会安装恶意软件或从毫无戒心的客户那里收集敏感数据。

•克隆网络钓鱼：克隆网络钓鱼使用合法或以前发送的包含链接的电子邮件。克隆类似于合法电子邮件，但包含的链接是恶意软件链接。然后将克隆电子邮件作为原始发件人的重新发送发送给受害者。当受害者单击克隆电子邮件链接时，黑客可以将相同的电子邮件转发给受害者邮箱中的联系人。这是最难识别的网络钓鱼类型：克隆网络钓鱼有许多受害者。

•邪恶孪生网络钓鱼：邪恶孪生网络钓鱼涉及设置伪装成合法接入点的 Wi-Fi 接入点，以便在受害者不知情的情况下访问敏感信息。诈骗者会观察合法 Wi-Fi 接入点的详细信息，并创建具有相同名称的相同接入点。受害者连接到 Wi-Fi 接入点，邪恶的双胞胎 Wi-Fi 成为他们的无线 AP。然后，黑客可以拦截敏感数据，例如登录信息、银行详细信息或信用卡信息。

•社交媒体网络钓鱼：社交媒体网络钓鱼是一种网络钓鱼形式，它利用Facebook、LinkedIn、Twitter、Instagram等社交媒体平台来欺骗受害者泄露敏感数据。在某些情况下，当受害者收到要求他们为追随者付款的消息时，就会发生这些网络钓鱼诈骗。在其他情况下，这些消息可能包含指向虚假社交媒体登录页面的恶意链接。登录时，受害者的凭据会被保存，以用于冒充和访问财务和个人信息。

• Pharming ：通常描述为网络钓鱼和农业这两个词的组合，Pharming 是一种诈骗方法，其中恶意代码安装在计算机或服务器上，目的是误导用户访问欺诈性网站。 Pharming 可以通过在电子邮件中发送代码来完成。这些代码修改将 URL 转换为计算机用于访问网站的 IP 地址的本地主机站点。即使用户输入了正确的网址，他们也会被定向到一个虚假网站，在那里他们的敏感信息会被提供给诈骗者。

网络钓鱼诈骗：概述

网络钓鱼诈骗非常流行：根据2021 年 Verizon 数据泄露报告，网络钓鱼涉及 36% 的泄露。此外，该报告披露，95% 的商业电子邮件泄露损失在 250 美元到 984,855 美元之间，商业电子邮件泄露的中位数损失设定为 30,000 美元。这表明许多个人和组织因网络钓鱼诈骗而损失了很大一部分资金。

2019 年，Avanan 对 55.5 封电子邮件的分析显示，每 99 封电子邮件中就有一封是网络钓鱼电子邮件。更令人担忧的是，超过 70% 的这些电子邮件是由他们的目标打开的；在 2013 年 10 月至 2018 年 5 月期间，被泄露的商业电子邮件使公司损失了高达 125 亿美元。

一般来说，网络钓鱼会产生许多负面影响，尤其是对企业而言。这些影响包括资金损失、敏感数据丢失、知识产权损失、品牌声誉受损、生产力损失、工作活动中断和恶意软件安装。除了所有这些影响之外，客户可能会失去对企业和组织试图销售的产品的信任。

网络钓鱼攻击的影响可能取决于诈骗者的动机：冒充、欺诈，甚至是娱乐。如果网络钓鱼者成功安装恶意软件，他们很可能会敲诈组织或个人。如果银行详细信息或信用卡信息被泄露，个人可能会失去毕生积蓄。网络钓鱼不仅会导致金钱损失：它还会在使用计算机、移动设备和社交媒体时造成不安全感。

如何防止网络钓鱼攻击

防止网络钓鱼攻击涉及两种机制：识别网络钓鱼攻击并采取积极措施来防止它们。了解如何识别网络钓鱼攻击是预防它们的第一步。关键是要小心：留意网络钓鱼的关键迹象。

诸如首次电子邮件发件人、紧急请求个人信息、通用问候语、消息中的拼写错误、不请自来的附件、消息中的奇怪链接和奇怪的域名之类的迹象是出现问题的明确标志。

如果您在工作场所处理敏感数据，则应忽略任何要求您提供个人信息（例如银行帐户详细信息、卡详细信息和公司数据）的电子邮件、电话或消息。

防止网络钓鱼涉及采取积极措施保护您的数据不落入诈骗者手中。首先要做的是避免单击电子邮件和消息中发送的任何可疑链接。然后，您应该在您的网络浏览器上安装反钓鱼浏览器。此外，在您的计算机上安装防病毒软件。

您的所有浏览器和软件都应保持最新状态，以防止数据泄露将您的数据暴露给网络钓鱼者。在您的计算机上使用保护防火墙：桌面防火墙和网络防火墙来保护您的系统免受黑客攻击。您还应该记住不要使用不安全的网站：作为一项规则，坚持使用 HTTPS，而不是 HTTP 网站。

归根结底，即使采用了这些策略，也没有人能完全免受网络钓鱼者的攻击。但是，您可以降低成为受害者的风险。

如何报告网络钓鱼

在某些情况下，在您尝试保护自己免受网络钓鱼的受害者之后，网络钓鱼者仍然可以破解您的防御。你不应该责备自己；解决方案在于报告网络钓鱼。报告网络钓鱼可以帮助执法机构抓住网络犯罪分子，为您的损失提供安全网，并防止他人成为网络钓鱼的受害者。

在美国，联邦贸易委员会网站概述了如何报告网络钓鱼电子邮件。您应将网络钓鱼电子邮件转发至[email protected] ，并在投诉部分向联邦贸易委员会报告犯罪行为。您还应联系被冒充的组织或个人，并通知您组织中的客户和员工。

US-CERT 组织与反网络钓鱼工作组 (APWG) 合作收集网络钓鱼电子邮件和网站位置。您可以通过发送电子邮件至 [email protected] 向 APWG 报告网络钓鱼。

在英国，国家网络安全中心 (NCSC) 有权调查和删除诈骗电子邮件和网站。您需要做的就是向[email protected]发送电子邮件或屏幕截图。如果您在英国收到网络钓鱼短信，请将短信转发至 7726。

对于Google和Microsoft等组织，您可以在其网站和应用程序上报告网络钓鱼邮件和电子邮件。您需要做的就是单击消息，然后单击“更多”和“报告”按钮。当您报告这些网络钓鱼者时，他们的电子邮件将被阻止，其他人可以免受网络钓鱼攻击。

尽管如此，与必须报告网络钓鱼案例相比，防止网络钓鱼更好。因此，您应该保持警惕并将看起来可疑的电子邮件发送到垃圾邮件。马上！