网络钓鱼攻击常用手法的防护建议

陆英

网络钓鱼攻击是最常见、最容易让受害者中招的网络犯罪之一，随着网络技术的不断发展，攻击者的伪装手段也变得愈发狡诈，攻击频次也在增高，各种新奇的攻击方式层出不穷。有些攻击者可通过网络钓鱼窃取企业内部的关键信息，给企业组织的业务安全、信息安全防护带来了巨大的威胁，如何识别攻击者的各种诈骗花招，保护企业和员工的关键信息安全成为大多数企业的重要任务。

防止网络钓鱼的最基本原则是保持警惕，在点击任何链接并输入账户详细信息之前，应仔细确认其真实性，避免陷入网络钓鱼的陷阱。同时，还应该了解网络钓鱼手法的各种变化，找到相应的预防手段。以下汇总了目前较为常见的9种网络钓鱼攻击手段，并给出了相应的防范建议。

电子邮件钓鱼

电子邮件钓鱼又名欺骗性网络钓鱼，是最常见的网络钓鱼攻击之一，攻击者通常以知名企业或品牌的名义向潜在受害者发送电子邮件。

这些邮件通常附有危险链接，受害者点击链接后，会被诱骗填写登录信息或将恶意软件安装到受害者计算机上。这些网站常常看起来很专业，与其所冒充企业的实际品牌和外观效果几乎一样，这些邮件内容也往往给人以真实感和紧迫感，促使受害者来不及细想就仓促行动。受害者一旦中招，登录信息就已经泄露，攻击者会借此去访问受害者的身份和银行信息，进而牟取暴利。

预防方法：

防止电子邮件钓鱼的最佳方法是了解这种攻击手段的关键特征，进而及时识别并避开这些钓鱼陷阱。

电子邮件网络钓鱼最明显的伪装纰漏是邮件内容信息在拼写、标点和语法上存在错误，这类邮件中通常会有很多拼写错误和域名不正确的邮箱地址。如果企业内部发现收到的邮件内容存在这些可疑之处，就要引起注意，叮嘱员工避免点击任何链接，对于以商品促销或折扣为主题的邮件内容更要注意。

这类钓鱼邮件的另一个特征是附加链接很短。因为一般短链接会被攻击者用于躲避安全电子邮件网关检测，因此这也是证明链接不安全的信号。

鱼叉式网络钓鱼

鱼叉式网络钓鱼的特征是攻击者不会海量地向外发布钓鱼邮件，他们在钓鱼前会通过开源情报（OSINT）或其他违法途径收集受害者的信息，然后有针对性地向某一企业内指定的具体对象发送恶意邮件。例如，如果攻击者的目标是一家在线课程教育企业，那他们可能会对该企业的网站课程开发者发送针对性邮件。

因此，鱼叉式网络钓鱼的电子邮件往往更加“定制化”，它们使用全名、办公电话号码、甚至工作职能来欺骗受害者，诱骗受害者以为发件人与自己是同行。

预防方法：

为了识别并抵御鱼叉式网络钓鱼，企业组织应采取以下策略：检查企业组织定向到Google Suite或Dropbox等共享驱动器上的链接是否正确，因为攻击者可能会通过鱼叉式钓鱼攻击将这些链接重定向到恶意网站。

此外，鱼叉式钓鱼邮件中常常要求受害者输入用户名和密码来访问文档，进而获取受害者在企业中的登录信息。因此员工在日常工作中要注意一些可疑的邮件，企业内部不同的部门同事如果通过邮件向你提出了奇怪要求或要求你做一些与工作无关的事，就应该三思而后行。

语音电话钓鱼

攻击者会利用受害者的电话号码直接与其沟通，他们通常会冒充政府部门、银行等合法机构的工作人员，通过播放自动语音消息或直接语音要求受害者采取行动（登录恶意系统、回复验证码等）的方式，诱骗受害者泄露敏感信息，而且这些攻击者往往会瞄准时机，在企业内部最忙、员工压力最大的时候拨打电话，受害者在高度的紧迫感下常常仓促行事，受到欺骗。

预防方法：

预防语音电话钓鱼攻击可以从这些方面出发，首先，企业员工要格外注意陌生的来电ID、不常见归属地或被标记的号码。此外，在工作特别忙碌的季节、工作量特别大的时段接到电话尤其要警惕。最后，当来电方要求完成某项操作，且该操作涉及到个人敏感信息时，更要格外警惕。

短信网络钓鱼

短信网络钓鱼与语音电话钓鱼类似，但它是通过短信而非电话。与电子邮件网络钓鱼一样，攻击者会从看似明显合法的来源发送文字消息和链接，受害者点击后，其移动设备可能就会被恶意软件感染。其內容主题也以商品折扣、银行信息通知等为主，这是攻击者诱骗人们点击恶意链接常见伎俩。

预防方法：

与电话语音钓鱼相同，收信人在收到可疑短信后，要留意短信发送方是否属于异常电话区号。攻击者经常会冒充电商客服，以“物流送货状态变化”为由要求受害者点击链接或采取其他操作，如果收信人确实对网购商品存在相关疑虑，可以直接访问相关软件或与电商客服沟通，避免直接点击短信中的链接。

鲸钓式钓鱼

采用鲸钓式钓鱼的攻击者也会利用OSINT来获取信息并对企业组织管理层发起欺骗式攻击，因此它有时又被称作CEO欺诈。

攻击者首先会利用OSINT或社交媒体、企业网站等来获取目标企业的CEO身份信息，随后使用与实际CEO邮箱地址相似的地址向该企业的员工发送邮件，邮件内容通常是骗取钱财或诱导受害者点击链接以“查看文件”。

与鱼叉式钓鱼攻击相仿，网络犯罪分子在对受害者实施诡计之前会先对目标企业内部的某个员工进行摸底，从而确保发送的邮件可以以假乱真。

预防方法：

如果公司内的CEO或高层之前从未亲自给收件人发过邮件，那么这种异常行为应该引起收件人的警惕。

另一个重要迹象是邮件发件人的邮箱域名是否属于企业内部。个人电子邮件通常不会出现在工作环境中，因此发件人如果使用的是个人电子邮件也是存在欺诈嫌疑的一大信号。

域欺骗