三周前的推特大規(guī)模賬號(hào)入侵事件，無疑是目前為止受到最廣泛關(guān)注的一起安全事件。在這起事件中，包括美國前總統(tǒng)奧巴馬、亞馬遜CEO貝佐斯，以及巴菲特、特斯拉CEO馬斯克等人在內(nèi)的大量知名推特賬號(hào)被盜，并突然集體發(fā)送比特幣釣魚推文，誘導(dǎo)粉絲向黑客的比特幣錢包轉(zhuǎn)賬。

事件發(fā)生后，推特立即關(guān)閉了認(rèn)證推特帳戶的發(fā)布新推文的功能，不過仍有130個(gè)賬戶受到影響。同時(shí)，推特也表示會(huì)不斷更新關(guān)于這起黑客攻擊事件的最新調(diào)查情況。

7月31日，推特公布了本次大規(guī)模賬號(hào)入侵事件的更多細(xì)節(jié)和調(diào)查結(jié)論，揭開了這起嚴(yán)重事件真相面紗的一角。

推特支持賬號(hào)公布最新調(diào)查結(jié)果

在事件初期，曾有分析人士稱，黑客之所以能夠得手，主要是因?yàn)橘I通了推特內(nèi)部的一名“內(nèi)鬼”。通過這名內(nèi)鬼，黑客獲得了訪問內(nèi)部管理工具的權(quán)限。

不過從推特公布的調(diào)查結(jié)果可以看到，并不是內(nèi)鬼在作祟，真正的攻擊手段是“電話魚叉式網(wǎng)絡(luò)釣魚攻擊”。

什么是“電話魚叉式網(wǎng)絡(luò)釣魚攻擊”？

看到這個(gè)詞，相信大多數(shù)人都會(huì)比較陌生。的確，一般我們見到的網(wǎng)絡(luò)釣魚攻擊往往是那些包含惡意軟件的電子郵件，或者誘導(dǎo)你訪問特定網(wǎng)站，從而下載帶有惡意軟件的文件。那么“電話魚叉式”又代表了什么意思呢？

我們一步步來，先從“魚叉式網(wǎng)絡(luò)釣魚攻擊”說起：

魚叉式釣魚攻擊與其他類型的釣魚式攻擊的不同之處在于，魚叉式釣魚針對(duì)的是特定人員或特定公司的員工。而普通的網(wǎng)絡(luò)釣魚是廣撒網(wǎng)，沒有明確目標(biāo)，類似普通詐騙電話。

[[336122]]

由于是針對(duì)特定人員，因此魚叉式釣魚攻擊更加危險(xiǎn)。網(wǎng)絡(luò)罪犯會(huì)精心收集目標(biāo)對(duì)象的信息，使”誘餌”更具誘惑力。例如精心制作的魚叉式釣魚電子郵件看起來與正常郵件無異，足以瞞過經(jīng)驗(yàn)豐富的安全專家。所以，魚叉式釣魚攻擊更容易讓受害者毫無防備地打開特定郵件，使之上鉤。

到這里，相信你也理解“電話魚叉式網(wǎng)絡(luò)釣魚攻擊”是什么意思了吧。沒錯(cuò)，這就是一種利用電話方式來進(jìn)行的魚叉式網(wǎng)絡(luò)釣魚攻擊。

在這類攻擊中，網(wǎng)絡(luò)罪犯會(huì)使用VoIP（一般稱為網(wǎng)絡(luò)電話）向選定的目標(biāo)發(fā)起呼叫，通常網(wǎng)絡(luò)罪犯都會(huì)利用大多數(shù)VoIP服務(wù)的開放性來偽造來電顯示，使每個(gè)電話看起來都是來自合法銀行，當(dāng)網(wǎng)絡(luò)罪犯遇到用戶的語音信箱時(shí)，它就會(huì)留下一條語音信息，說用戶的賬戶已經(jīng)被凍結(jié)，并勸告用戶撥打給定的號(hào)碼提供賬戶信息，接著，攻擊者就會(huì)接到“心急火燎”的受害者的回電，并輕松獲得用戶的個(gè)人信息。

[[336123]]

推特是如何被黑客一步步拿到控制權(quán)的？

由此，通過了解什么是“電話魚叉式網(wǎng)絡(luò)釣魚攻擊”，我們大致可以推斷出推特是如何一步步被黑客攻破的。

首先，一個(gè)推特員工或供應(yīng)商在他們的手機(jī)上收到了一條消息，似乎是來自推特的支持團(tuán)隊(duì)，并要求他們撥打一個(gè)號(hào)碼。

當(dāng)該員工撥打該號(hào)碼時(shí)，他們可能被帶到了一個(gè)令人信服的（但卻是假的）服務(wù)臺(tái)接線員那里，然后該接線員就可以利用 “社會(huì)工程學(xué)”來欺騙目標(biāo)受害者交出他們的憑證。

[[336124]]

注：“社會(huì)工程學(xué)”是一個(gè)安全術(shù)語，通常指黑客欺騙人們，從而獲得本不應(yīng)該獲得的訪問權(quán)限。

由于推特員工或供應(yīng)商認(rèn)為他們正在與內(nèi)部人員通話，因此他們會(huì)在電話中透露更多細(xì)節(jié)，比如交出內(nèi)部管理工具。

同樣，對(duì)話也可能是由騙子給員工打電話發(fā)起的，可能是使用VOIP電話服務(wù)，并使用來電顯示欺騙，假裝是來自合法號(hào)碼，從而讓員工“乖乖”交出控制權(quán)。

如何防備這類攻擊？

從網(wǎng)絡(luò)犯罪的角度看，魚叉式網(wǎng)絡(luò)釣魚無疑是攻擊者眼中的理想工具，因?yàn)樗鼈兡茌p松取得受害者的信任。攻擊者更加關(guān)注高管和其他具有管理員權(quán)限的雇員，誘使其啟動(dòng)惡意軟件，讓網(wǎng)絡(luò)罪犯進(jìn)入公司環(huán)境。從而用勒索軟件加密公司數(shù)據(jù)，然后向受害者勒索費(fèi)用。那么，針對(duì)這類攻擊我們就無法防范了嗎？

當(dāng)然不是，這里小編給大家支幾招，希望能派上用場。

01▶電話中不要透露任何關(guān)鍵信息◀

大多數(shù)魚叉式網(wǎng)絡(luò)釣魚的成功不是因?yàn)閱T工想做錯(cuò)事，而是因?yàn)樗麄儫嶂杂谧龊檬?/strong>。因此，僅僅因?yàn)槟橙嗽陔娫捴新犉饋砗苡押谩⒑苡袔椭⒉灰馕吨麄儜?yīng)該被信任。雖然沒有提供建設(shè)性的幫助在社交上可能會(huì)比較尷尬，特別是當(dāng)你認(rèn)為你正在與一個(gè)幫助你的"支持人員"通話，但你仍應(yīng)該時(shí)刻保持警惕。