如何保護自己免受網絡釣魚詐騙的侵害

當您早上醒來，困倦而心不在焉時，您收到了一封來自貌似熟悉來源的緊急郵件，沒有多想，您點擊了一個不應點擊的鏈接。有時就是這么簡單，這種超過30年歷史的網絡釣魚方法往往會導致一系列混亂局面的逐一迸發(fā)——無論是您的個人銀行賬戶還是社交媒體，攻擊者也開始欺騙你的家人和朋友；如果在公司，這可能意味著系統和數據被入侵，服務中斷，以及所有其他隨之而來的后果。繼我們的“在網絡釣魚攻擊中被模仿最多的50個品牌”一文后，這里介紹一些幫助您防范這些騙局的提示。

日常生活中，利用人們回復或與惡意郵件互動這類“常規(guī)行為”仍然是攻擊者入侵組織的主要方式。根據CISA的數據，90%的網絡攻擊始于釣魚郵件，而一種相似類型的釣魚攻擊，商務郵件入侵(BEC)，給企業(yè)造成的損失高達430億美元。有一點可以肯定的是，由于AI聊天機器人等新興工具和各種通信應用程序(Teams、Google Chat、Slack、LinkedIn等)的廣泛使用，釣魚攻擊正變得越來越復雜。

什么是網絡釣魚？它從哪里開始

（黑客成功的第一步）

看似簡單，但用簡單的語言提醒每個人始終是好事。電子郵件釣魚是一種欺騙技術，攻擊者會使用各種類型的誘餌，如令人信服的電子郵件或鏈接，欺騙受害者提供敏感信息或下載惡意軟件。如果誘餌起作用——攻擊者只需要它起一次作用——且受害者點擊了這個鏈接，攻擊者就會有機會實施進一步的攻擊，并可能帶來毀滅性的后果。任何人都可能被通用的“網絡釣魚”欺騙——但這些攻擊也可以集中在一個目標上，具備有關受害者的具體信息，稱為魚叉式網絡釣魚。

近期的網絡釣魚例子有Reddit(作為目標)，Twilio，Cloudflare也在大約同時遭到一次類似的攻擊。詳情請參見：“一場復雜的網絡釣魚騙局的機制以及我們如何阻止它”(通過使用我們自己的Cloudflare One產品)。某些情況下，雇員的家用電腦成為目標后，可能為黑客打開大門，造成幾周后的一次重大入侵。

需要注意的一些警報包括英國國家網絡安全中心(NCSC)，其表示網絡釣魚攻擊正在瞄準多個行業(yè)的個人和組織。白宮國家網絡安全戰(zhàn)略(Cloudflare已為此做好準備)也強調了以上風險。德國、日本及澳大利亞也正在采取類似的方法。

話不多說，這里有一些提示可以用來保護您自己免受網絡釣魚攻擊。

在線安全提示：如何避免網絡釣魚詐騙

·不點擊策略。如果你收到來自銀行或美國國稅局等政府機構的郵件，不要點擊郵件中的鏈接，而是直接訪問網站本身。

·注意發(fā)送者的電子郵件地址中是否有拼寫錯誤或奇怪的字符。網絡釣魚往往依靠看來相似的域名或“發(fā)件人”電子郵件來誘導點擊。常見做法是增加或調換字母(microsogft【.】com)、省略(microsft【.】com)或使用相似的字符(字母o和數字0，或micr0soft【.】com)。

這是一次典型的品牌模仿網絡釣魚，用大通銀行(Chase)作為可信的誘餌：

正文中的鏈接看起來是一個大通銀行域名，但當點擊時，它實際上打開了一個SendGrid URL（一個已知的電子郵件發(fā)送平臺）。然后該URL將用戶重新定向到冒充大通銀行的釣魚網站。

·在點擊“解鎖賬戶”或“更新支付信息”鏈接之前請三思。由于個人信息可以在我們的電子郵件、在線存儲和社交媒體賬戶中找到，技術服務行業(yè)是被用于釣魚活動的主要行業(yè)之一。點擊前，將鼠標懸停在鏈接上，確認它是一個您熟悉的URL。

·警惕與財務相關的信息金融機構是最有可能被釣魚的行業(yè)，因此，對于任何要求接受或支付的信息，都要暫停并對其進行評估。

·注意那些能制造緊迫感的信息。那些警告您有最后機會領取包裹或最后機會確認賬戶的電子郵件或短信很可能是假的。疫情期間，網上購物的興起使零售和物流/航運公司成為這些類型的網絡釣魚的熱門目標。

金融和包裹遞送詐騙通常使用短信釣魚攻擊，與攻擊者使用短信引誘受害者有關。幾個月前，Cloudflare曾經成為這類釣魚的目標(已被阻止)。如下短信示例就是來自這次被挫敗的釣魚攻擊：

·如果事情聽起來好得令人難以置信，那么很可能就是如此。小心“限時提供”的免費禮物，獨家服務，或到夏威夷或馬爾代夫旅行的巨大優(yōu)惠。釣魚電子郵件的目標是我們的滿足感、愉悅感和興奮感，促使我們未經仔細考慮的情況下做出的瞬間決定。這類策略旨在引誘用戶點擊鏈接或提供敏感信息。即使只是幾秒鐘，也要暫停一下，然后迅速在網上查一下這個優(yōu)惠，看看其他人是否也收到了類似的優(yōu)惠。

·來自一個非常重要的人的非常重要的信息……釣魚電子郵件有時模仿高層人士，敦促采取緊急行動，如轉賬或分享憑據。仔細檢查有此類請求的電子郵件，并驗證其真實性。如果發(fā)件人是首席執(zhí)行官，請聯系您的經理。對于不熟悉的政客，在做出回應之前要評估請求的可行性。

·消息正文充滿錯誤(但要小心AI工具)。糟糕的語法、拼寫和句子結構可能表明電子郵件不是來自一個信譽良好的來源。盡管如此，最近的人工智能文本工具已經讓黑客或壞人更容易創(chuàng)建令人信服和無錯誤的文案。

·浪漫詐騙郵件。在這些電子郵件中，騙子使用虛假的網絡身份來獲得受害者的喜愛和信任。他們也可能會發(fā)送一封看起來是錯誤發(fā)送的電子郵件，促使收件人回復并開始與詐騙者對話。這種策略是用來引誘受害者的。

·使用密碼管理器。密碼管理器將驗證域名是否與您的預期相匹配，如果您試圖在錯誤的域名上填寫密碼，就會發(fā)出警告。

如果您想對潛在的釣魚電子郵件進行更嚴格的審查，歡迎訪問我們的學習中心，了解當電子郵件沒有通過標準認證方法(如SPF、DKIM或DMARC)時會發(fā)生什么。

被模仿最多的50個品牌以及另外一些與Cloudflare相關的趨勢來自Cloudflare Area 1。2022年，我們專注于電子郵件保護的服務識別并阻止了23億封有害的郵件進入客戶收件箱。我們平均每天屏蔽630萬封郵件，這幾乎是每10分鐘4.4萬封，也就是閱讀一篇像這樣的博客文章所花費的時間。

一般而言，最常用的電子郵件威脅類型(根據2023年1月的Area 1數據)是：身份欺騙、惡意鏈接、品牌假冒、惡意附件、詐騙、勒索、帳戶入侵。還有語音釣魚。

語音釣魚是另一種常見的威脅，指通過電話欺騙人們分享敏感信息。受害者被引導相信他們正在與一個可信的實體對話，如稅務機關、他們的雇主或他們使用的航空公司。

另一種類型的攻擊是水坑攻擊。黑客識別目標組織內用戶經常訪問的網站，然后侵入這些網站以分發(fā)惡意軟件。這些攻擊通常與供應鏈利用有關。

接下來，我們展示一個來自真實供應商的釣魚郵件示例，該供應商的電子郵件帳戶被黑客入侵，這被稱為供應商發(fā)票欺詐：

最后但并非最不重要的一個示例是：日歷釣魚。欺詐者可能會使用云電子郵件帳戶將虛假邀請注入目標員工的日歷。我們的Cloudflare Zero Trust產品可以檢測和避免這些問題。

電子郵件鏈接隔離方法：

防釣魚攻擊的安全網

正如我們在最近為CIO Week所寫的文章中提到那樣，即使訓練有素的用戶混淆了惡意鏈接和正常鏈接，依然有一張可能的安全網。通過利用Cloudflare Browser Isolation服務，就防護超出電子郵件范圍的網絡釣魚攻擊而言，電子郵件鏈接隔離將Cloudflare的云電子郵件安全打造成最全面的解決方案。它會重寫和隔離可能被利用的鏈接，通過提醒用戶他們即將訪問的網站存在的不確定性來保持警惕，并防止惡意軟件和漏洞。這個功能一鍵即可完成部署，符合Cloudflare的一貫風格。

盡管如此，并非所有的惡意鏈接都來自電子郵件。如果你擔心可能來自即時通訊或其他通信工具(Slack、iMessage,Facebook、Instagram、WhatsApp等)的惡意鏈接，Zero Trust和遠程瀏覽器隔離就是有效的措施。

寧可事先謹慎有余，不要事后追悔莫及

如我們所見，電子郵件是企業(yè)每天使用的最普遍也是被利用最多的工具之一。引誘用戶點擊電子郵件中的惡意鏈接是絕大多數惡意行為者的一種長期策略，無論是最老練的犯罪組織，還是初出茅廬的攻擊者。因此，請記住，在線請小心謹慎，做好準備，注意安全。