警惕7大最常見的網絡釣魚主題行，看看你中招沒？
如今，我們的電子郵件中正潛伏著各種網絡釣魚騙局。即便是你現在沒有發現，那么也許明天或者是后天……總之總有一天會發現。關鍵問題是，在面對網絡釣魚騙局時，你會中招嗎?
有研究人員發表的報告聲明：電子郵件中的網絡釣魚騙局已經變得越來越難以阻止，攻擊者正在創新和完善他們的誘餌，使網絡釣魚更逼真從而對用戶更具吸引力和說服力。Webroot公司首席信息安全官Gary Hayslip表示：雖然用戶越來越警惕各種釣魚詐騙的攻擊，各種防網絡釣魚軟件也不少，但還是不能阻擋各種各樣的釣魚詐騙攻擊。正所謂“道高一尺魔高一丈”，網絡釣魚攻擊依舊通過各種方式，來騙取個人用戶和企業的信息。
Hayslip表示：
| “我覺得電子郵件中的網絡釣魚騙局已經到了普遍存在的地步。用戶現在也習慣下意識地點擊查看網絡釣魚電子郵件，即便他們明知不應該這么做。這就是攻擊者利用人性來實施攻擊活動的可怕之處!” |
人們總是充滿好奇心和同情心，渴望通過自己的力量來幫助有需要的人，而這兩種品質正是他們易受網絡釣魚攻擊的根源所在。當他們中招了以后，他們又習慣用“我當時忙糊涂了”“我忘了”“我本應該知道這是釣魚郵件的”等諸多借口，來推脫自己打來惡意電子郵件的錯誤行為。
Hayslip補充道：
| “無論你采用多少技術手段和工具來阻止它們，它們總有辦法成功欺騙用戶”。 |
近日，Webroot公司掃描了過去18個月內的成千上萬封網絡釣魚電子郵件，以了解有關針對特定目標的常見主題行的發展趨勢。Hayslip向全美約100名首席信息安全官展示了此次調查結果，并了解到：“很多人都會收到類似的郵件”。在網絡釣魚電子郵件中經常可以看到與財務有關的消息和緊急通知，盡管是在不同的主題之下。
Cofense(前身為PhishMe)的網絡安全戰略家John“Lex”Robinson回應了Hayslip的觀點，并表示攻擊者對于他們發送的電子郵件的背景以及他們的攻擊目標，已經有了越來越深地了解。他說：
| “如果把我們今天的溝通方式(包含許多流行語)與15年前、20年前甚至30年前相比，可能就顯得不那么通俗了。但是網絡釣魚郵件要求的從來都不是通俗，而是要與商業行話保持一致。” |
以下是一些最常見的網絡釣魚主題行，并向大家展示它們所包含的信息，以及它們所揭示的攻擊者的目標和策略等內容。
1. 緊急求助
當攻擊者不希望目標猶豫不決時，他們就會在主題行中傳達一種緊迫感，因為他們希望你能夠快速做出決定。
也許該釣魚郵件不會直接說“緊急求助”，而是選擇言語之間存在類似的暗示。Hayslip表示，作為一名首席信息安全官，他就經常會看到人們因為想要提供幫助而中招，而且重要的是，很多受害者的心理活動是，并不想因為沒有采取某些可能很重要的行動而受到懲罰。對于這種情況，Hayslip特意告訴員工：
| “我寧愿你去尋求專業幫助，也不愿你因為做錯事而陷入困境。我建議你可以忽略任何在主題行中言及‘緊急’字眼的未知郵件。因為真的緊急的事情可以通過很多其他更高效的途徑來解決，例如打電話。” |
2. 發票
在Cofense檢測到的“Top10網絡釣魚郵件主題行”中，“發票”一詞就獨占6大主題行(只是表達方式有所差異)，這也說明在考慮網絡釣魚主題時，財務動機仍然處于主導地位。
在談及Cofense追蹤到的最常見的網絡釣魚騙局時，Robinson表示：
| “對我來說，最有意思的是絕大多數網絡釣魚騙局都涉及金錢主題。很顯然，金錢對每個人來說都是一個極具刺激性的話題……當你有了這樣一個極具刺激性的話題時，就能立即引起人們的興趣。” |
雖然前6個騙局的具體消息內容有所不同，但所有人都試圖用“發票”一詞作為主題來吸引他們的目標。金錢是一個強大的動力，攻擊者很清楚地知道這一點，并且正在利用它來擊垮人們的心理防線。根據數據顯示，在Cofense掃描的網絡釣魚電子郵件中，大約有100,000個電子郵件是利用“發票”一詞作為主題的。
Cofense研究人員還發現，“付款匯款”是另一個受歡迎的標題，其使用量也超過了40,000封電子郵件。同時，“聲明”和“付款”也是非常受歡迎的主題。
WebRoot則發現，“電匯”也是一種常見的選擇，當然還有一些電子郵件會更具體：“您最近的Chase付款通知”是另一個受歡迎的財務主題。
需要注意的是，不要以為網絡釣魚欺詐只會發生在沒有上網經驗的人身上，即使是互聯網公司也會遭到電匯詐騙，而且詐騙數額不小，已經達到數百萬美元。谷歌和Facebook的會計部門電腦上由于被安裝了惡意軟件，通過查閱它們的轉賬記錄瞄準了一個開發商，開了數百萬美元的發票。
雖然事后經過執法機關的努力，追回了損失;但其他公司就不會這么幸運了，2016年價值30億美元被電匯詐騙，絕大部分都無法追回。
3. 銀行通知
Hayslip表示，針對公司高管的經濟動機網絡釣魚攻擊，往往需要攻擊者付出更多的努力和研究，以及更為嚴謹的措辭和語法。他解釋稱：
| “我認為，這就是‘捕鯨攻擊’(whaling attacks)和普通的網絡釣魚攻擊之間的區別。所謂“捕鯨攻擊”，實際上是一種欺詐類型，釣魚者找到某個公司高層或高管團隊的姓名和電子郵件地址(此類信息通常會在網頁上免費提供)，并撰寫與這些人員及其公司職位相稱的電子郵件。這些電子郵件會試圖誘使高管們單擊某個鏈接并訪問某個網站，在此惡意軟件會下載到其計算機中，并復制按鍵記錄或搜出敏感信息或公司機密。” |
針對高級員工實施網絡釣魚活動的攻擊者，會希望其釣魚郵件信息盡可能真實。他們可能會向行政助理發送包含特定銀行名稱或“緊急協助”信號的欺詐性電子郵件。他們會先對目標機構所選擇的銀行進行研究，并嘗試模仿銀行發布的通知信息。此外，攻擊者還可能會聯系助理，稱他們的CEO或CFO正在旅行并遇到了一些財務問題，需要經濟上的幫助，并利用諸如此類的借口來證明資產轉移的合理性和可信性。
4. 賬戶驗證
這一主題行與直接的經濟收益關系不大，但與知識產權盜竊存在很大關聯。這種類型的攻擊通常會進行憑證釣魚(credential phishing)，為了在目標網絡內獲取立足點。許多線上服務都需要有憑證作為確認服務真實性的基礎，但是憑證釣魚就會企圖獲取線上服務的憑證，因此，憑證一旦遭竊，攻擊者就可以直接獲取所需的各類信息，包括使用者的賬號、密碼等等。
在進行憑證釣魚時，就需要通過“賬戶驗證”之類的請求來引誘你進入登錄頁面以驗證你的憑證。因為在一系列后續活動中，攻擊者需要獲取到你的用戶名和密碼等數據，而想要獲取這些信息，就可能涉及冒充您經常使用的品牌發送“賬戶驗證”主題的釣魚郵件。
5. 拷貝或文檔拷貝
雖然惡意鏈接在釣魚電子郵件中日益普遍，但Robinson認為，附件也仍然很受歡迎，且十分有效，尤其是與發票、付款通知和聲明相關的電子郵件，或者是在線訂購和結算相關的警報中。
這符合攻擊者提高他們對業務環境的理解的趨勢。因為如果他們知道員工經常發送文件的事實，就會知道惡意電子表格或Word文件形式的附件是合理的。越來越多的附件，以及將宏視為主要交付方式的事實，均表明攻擊者越來越善于理解業務環境，以至于他們清楚地知道在網絡釣魚電子郵件中放入什么內容才是正常的。
此外，許多網絡釣魚郵件的主題都非常短，甚至只有一兩個字。這也表明攻擊者理解現代商業溝通的方式是相對非正式的。因為商業環境中的人奔波忙碌，不必設置非常正式、具體的主題。
就該主題而言，創建標準的溝通流程和政策可以幫助組織有效地防御這種形式的網絡釣魚攻擊。組織可以向員工展示這些電子郵件應該來自哪里，以及它們應該采取何種格式，以便他們能夠及時發現欺詐性郵件。
6. 行動請求，如“支付賣家尾款”
Hayslip指出，目標往往會輕信此類釣魚郵件主題。在電子郵件中采用“我們需要您這樣做”相關的主題行，往往能夠成功地誘使目標完成攻擊者需要他們完成的任何事情。調查數據也指出，在面對與“行動請求”相關的主題時，人們實際上確實是這樣做的——在與“行動請求”相關的釣魚郵件中，惡意鏈接的點擊率高達約40%，攻擊者會將受害者重定向到虛假的人力資源網站，以竊取其登錄憑證。受害者在被騙后會悔悟稱，“我知道我當時不應該那樣做。”
在過去一年中，攻擊者已經從使用惡意附件轉化為嵌入惡意鏈接。如今，大多數網絡釣魚電子郵件中都包含惡意鏈接，并且從表面看來，受害者越來越難以判斷這些鏈接是否可以安全點擊。因為在過去，他們可以將鼠標懸停在一個鏈接上來查看它是否可疑;但是隨著攻擊者的技能升級，這種方式如今已經起不了作用了。
7. 亞馬遜/某寶：您的訂單#812-4623可能已到達
Hayslip指出，這種類型的網絡釣魚電子郵件通常會在假日期間出現(比如馬上就要到來的雙11盛典)。他解釋稱，每逢重大節假日，各類商家都會向目標客戶發送大量打折促銷、快遞動態等郵件，這時候，釣魚電子郵件也就伺機而動了。此外，一些特定類型的攻擊還會在一年中的不同時間段出現：例如，金融和財務相關的騙局會在稅收季到來時泛濫;而在圣誕節期間就會出現“支付”相關的欺詐性消息。
Hayslip補充道，該消息也可能并不會特別提及包裹是否已經到達，它可能會以您最近購買東西的收據為誘餌，并附帶惡意附件。
經常在亞馬遜/某寶上購物的人，很大機會會毫不猶豫地點擊這些電子郵件，以查看其中的內容確定自己買的什么東西，何時能夠到達等等。當然，他們也就會毫不猶豫地點擊其中的惡意鏈接來查看他們多訂購的商品，而當他們發現自己的設備已經感染惡意軟件時，早已悔之晚矣。
用戶應該如何警惕釣魚郵件?
- 避免開啟來路不明的電子郵件及文件，安裝殺毒軟件并及時升級病毒知識庫和操作系統補丁，將敏感信息輸入隱私保護，打開個人防火墻;
- 對要求重新輸入賬號信息，否則將停掉信用卡賬號之類的郵件不予理睬;
- 尤為重要的是不要回復或者點擊郵件的鏈接，如果你想核實電子郵件的信息，使用電話，而非鼠標;若想訪問某個公司的網站，使用瀏覽器直接訪問，而非點擊郵件中的鏈接;
- 留意網址–多數合法網站的網址相對較短，通常以.com或者.gov結尾，仿冒網站的地址通常較長，只是在其中包括合法的企業名字(甚至根本不包含);
- 不同賬號使用不同口令，不要使用同樣的口令;
- 不要使用很簡單的口令，(如000000、生日等);
最后提醒一句，不幸中招者最好盡快更換相關密碼和取消信用卡。
