移动终端如何识别钓鱼手段与防范

石春宏

摘要：该文介绍了针对移动终端钓鱼手段的现状，分析如何识别钓鱼手段，并给出了本人认为可行的防范措施。

关键词：WiFi，移动终端，钓鱼

中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2017）31-0037-02

智能手机等移动终端，正因其使用的简单方便，联系的高效快速，几乎全面普及了。用智能手机通过WiFi上网，已经成为一种常态化的手段，部分商家也把免费WiFi网络作为招揽人气的手段。多数WiFi网络账号需要登录密码，但是这些公共场所的WiFi网络一般是不需要密码的，如机场、火车站、图书馆、商场、咖啡店等公共场所，越来越多的用户通过公共场所的WiFi来连接网络，不曾意识到“蹭网”的风险，有些别有用心之徒，开放了SSID和商家相同的WiFi，架设成钓鱼WiFi，而用户手机默认设置自动搜索到附近的WiFi网络账号，并自动连接到钓鱼WiFi。给犯罪分子有机可乘，从而窃取用户的网银账号、密码等的信息，本文就如何识别和防范钓鱼WiFi，简述自己的看法。

1 钓鱼手段的现状

腾讯2016年度发布《移动支付网络黑色产业链研究报告》[1]（以下简称《报告》）。数据显示，2016年南方地区的网络诈骗情况尤为严重，资金受损最严重的10个城市中8个都集中在南方。

1） 每天有60万人连接存在风险的WiFi

报告显示，每天有60万人次连接风险WiFi。这些WiFi犹如一个“隐形炸弹”，成为盗取手机用户资金的隐蔽途径。

《我国公众网络安全意识调查报告（2015）》[2]显示，被调查者有80.21%的人不去确认公共WiFi的安全性，就随意连接公共WiFi。另外，在7～19岁的青少年中，“经常扫二维码，不考虑是否安全”的比例也达40.3%。

2） 新型恶意二维码

近期不法分子还利用恶意二维码伪装成活动福利，在公共场所吸引用户进行扫码领福利。其实这些二维码背后隐藏的很可能就是手机木马的下载链接，通过扫码给手机植入木马病毒。一旦不慎中招，会导致用户的网银账户密码、短信验证码被木马盗取，个人隐私被窃取，对用户造成极大的损失和伤害。

3） 带链接的短信

腾讯“雷霆行动”负责人朱劲松表示，“2015年以来，移动互联网欺诈行为更加往高技术化、综合化及多平台发展。”如今，犯罪分子在研究用户的心理活动的基础上，有通过伪基站发送各种木马钓鱼短信，比如假冒移动、电信、学校、银行，甚至假冒用户老公（老婆）出轨目击者给用户发送短信，随短信附上一条“木马链接”。在用户点击之后，手机被植入木马，从而被不法分子盗取用户个人隐私、信息。不法分子用这些信息进行购物、盗刷，最后卖掉物品来套现。

2 什么是钓鱼WiFi

钓鱼WiFi就是跟普通商家自行搭建的WiFi热点类似的无线热点，当你的无线设备连接上时，会被对方反扫描，如果这时你的手机连在某个网站上进行了数据通信，且涉及了用户名密码等敏感数据时，对方就会获得你的用户名和密码。严重点还可能被人进行ARP欺骗然后挂马。

3 如何辨别钓鱼WiFi

第一，公共区域无密码的WiFi，这种钓鱼网站容易识别，但谨防移动终端自动连接。

第二，当公共场合出现两个（或多个）同名WIFI，极有可能是不法分子模仿商家的WIFI，架设了同名同密码的钓鱼热点。

第三，还有些不法分子模仿运营商，架设和运营商同名的钓鱼热点。如ChinaNet、CMCC等，这类钓鱼网站如果不同时出现运营商的WIFI（也就是两个以上的同名热点），一般很难判断。

4 如何防范钓鱼WiFi

第一，无验证或无密码的公共WiFi，可能是钓鱼陷阱，尽可能不要连接使用；

第二，连接公共场合的WiFi前，先找工作人员确认后连接使用。如果发现两个或多个同名的WIFI热点，都不要去连接其中任何一个；或者在使用过程中发现严重的卡顿显现，可能是不法分子，进行ARP欺骗，或缓存窃取，则立即停止连接。

第三，在使用公共场合的WiFi时，不要进行网络消费、个人账号和密码的登陆等操作，避免重要的个人敏感信息被窃取；

第四，在不需要连接WiFi时，尽量不要打开WiFi开关，或者把WiFi调成锁屏后不再自动连接，避免在自己不知道的情况下连接上恶意WiFi；

第五，在自己家里使用WiFi时，要防止不法分子连接到家里WiFi，最好设置相对复杂的（数字、大小写字母、符号等组合的密码）WiFi密码，加大黑客破解的难度，并且不要轻易将密码告知其他人，防止被社工；

第六，对于模仿运营商的钓鱼WIFI，一定要在常用的地点，区域连接运营商热点，以免被钓鱼网站直入木马；

其次，给手机安装安全软件。安全软件对于常见的钓鱼网站或其他攻击手法，可以及时拦截、提醒。

5 如何防范恶意二维码和恶意连接

第一，对于扫描二维码的活动，为了降低二维码中毒几率，建议您使用腾讯手机管家、微信或是QQ浏览器扫描二维码；

第二，不要轻易点击短信中的“链接”；

第三，如果收到运营商发来的业务信息，不要急于处理，在联系运营商（拨打通用客服电话，如移动：10086，电信10000）确认之后，再作处理；

第四，在购物或者买车票时，如果有人告知有费用产生，务必先到官方网站，或通过官方客服电话直接确认；

第五，对于任何人转账（借钱、医院费用等）要求，是对公业务的，务必通过正规渠道获得官方电话，在进行联系确认，方可处理；对于个人业务的必须通过本人视频确认，方可处理。

参考文献：

[1] 腾讯.2016年《移动支付网络黑色产业链研究报告》.

[2] 工业和信息化部电子科学情报研究所.《我国公众网络安全意识调查报告（2015）》.

[3] 杜躍进.在线身份窃取攻击[J].网络安全技术与应用.2005

[4] CNCERT/CC，2009年CNCERT/CC网络安全工作报告.