防不胜防？网络钓鱼攻击常用手法盘点与防护建议

网络钓鱼攻击是最常见、最容易让受害者中招的网络犯罪之一，随着网络技术的不断发展，攻击者的伪装手段也变得愈发狡诈，攻击频次也再增高，各种新奇的攻击方式层出不穷。有些攻击者可通过网络钓鱼窃取企业内部的关键信息，对企业组织的业务安全、信息安全防护带来了巨大的风险，如何识别攻击者的各种诈骗花招，保护企业和员工的关键信息安全已经成为大多数企业的重要任务。

防止网络钓鱼的最基本原则是保持警惕，在点击任何链接并输入账户详细信息之前，仔细确认其真实性，避免陷入网络钓鱼的陷阱。同时，我们还应该深入了解网络钓鱼手法的各种变化，找到相应的预防手段。本文汇总了目前较为常见的九种网络钓鱼攻击手段，并给出了相应的防范建议：

电子邮件钓鱼又名欺骗性网络钓鱼，是最常见的网络钓鱼攻击之一。攻击者通常以知名企业或品牌的名义向潜在受害者发送电子邮件。

这些邮件通常附有危险链接，受害者点击链接后，会被诱骗填写登录信息或将恶意软件安装到受害者计算机上的网站。这些网站常常看起来很专业，与其所冒充企业的实际品牌和外观效果几乎一样，这些邮件内容也往往给人以真实感和紧迫感，促使受害者来不及细想就仓促行动。受害者一旦中招，登录信息就基本已经泄露，攻击者会借此去访问受害者的身份和银行信息，进而牟取暴利。

鱼叉式网络钓鱼的特征是攻击者不会海量地向外发布钓鱼邮件，他们在钓鱼前会通过OSINT（开源情报）或其他违法途径收集受害者的信息，然后有针对性地向某一企业内指定的具体对象发送恶意邮件。例如，如果攻击者的目标是一家在线课程教育企业，那他们可能会对该企业的网站课程开发者发送针对性邮件。

因此，鱼叉式网络钓鱼的电子邮件往往更加“定制化”，它们使用全名、办公电话号码、甚至工作职能来欺骗受害者，诱骗受害者以为发件人与自己是同行。

攻击者会利用受害者的电话号码直接与其沟通，他们通常会冒充政府部门、银行等合法机构的工作人员，通过播放自动语音消息或直接语音要求受害者采取行动（登录恶意系统、回复验证码等）的方式，诱骗受害者泄露敏感信息，而且这些攻击者往往会瞄准时机，在企业内部最忙、员工压力最大的时候拨打电话，受害者在高度的紧迫感下常常仓促行事，受到欺骗。

短信网络钓鱼与语音电话钓鱼类似，但它是通过短信而非电话。与电子邮件网络钓鱼一样，攻击者会从看似明显合法的来源发送文字消息和链接，受害者点击后，其移动设备可能就会被恶意软件感染。其内容主题也以商品折扣、银行信息通知等为主，这是攻击者诱骗人们点击恶意链接常见伎俩。

采用鲸钓式钓鱼的攻击者也会利用OSINT来获取信息并对企业组织管理层发起欺骗式攻击，因此它有时又被称作CEO欺诈。

攻击者首先会利用OSINT或社交媒体企、网站等来获取目标企业的CEO身份信息，随后使用与实际CEO邮箱地址相似的地址向该企业的员工发送邮件，邮件内容通常是骗取钱财或让诱导受害者点击链接以“查看文件”。

与鱼叉式钓鱼攻击相仿，网络犯罪分子在对受害者实施诡计之前会先对目标企业内部的某个员工进行摸底，从而确保发送的邮件可以以假乱真。

域欺骗实际上很难被发现，因为它比其他大多数网络钓鱼攻击更具技术含量。犯罪分子先劫持DNS域名服务器（将URL转换成IP地址的服务器）。受害者输入网站地址后，DNS服务器会将其重定向到恶意网站IP地址。

这种恶意网站通常看起来非常逼真，又由于受害者在不知情的情况下被重定向，等到恍然大悟时往往为时已晚。

垂钓网络钓鱼采用与短信网络钓鱼同样的手法，不过针对的是社交媒体平台。

这种网络钓鱼通过使用私信、通知及其他社交媒体平台的功能，诱使受害者在这些真实使用的平台上采取某种有害操作。这也是为什么很多需要管理海量设备的大型企业，需要建立企业级联络中心解决方案的原因。

恶意孪生攻击是创建一个看似真实的Wi-Fi热点 ，攻击者甚至会使用与真实网络相同的设置服务标识符（SSID）。当用户连接时，攻击者可以窃听他们的网络流量并窃取他们的账户名、密码，并查看用户在连接到受感染的热点时访问的任何附件。此类攻击也被称为作为星巴克骗局，因为它经常发生在咖啡店。

克隆网络钓鱼会通过利用受害者以前使用过的网站服务来实施攻击。这些攻击者很狡猾，会事先调研哪些应用网站通常需要链接，然后，他们会伪装成目标业务应用网站，并向受害者发送看似来自正规服务的针对性邮件，欺骗习惯使用这些应用网站的用户。

https://www.cybersecurity-insiders.com/the-complete-list-of-types-of-phishing-attacks-their-brief-definitions-and-how-to-prevent-them/?utm_source=rss