随着技术的快速发展，网络钓鱼攻击的复杂性不断提高。技术越先进的人，网络钓鱼攻击就越先进。最后但同样重要的是，现在每个人都花更多的时间上网，网络钓鱼攻击的数量也在增加。这是我们的简短指南，其中包含一些简单的注意事项，以便在在线浏览时保持安全免受网络钓鱼攻击。
什么是网络钓鱼？
网络钓鱼大约诞生于 1995 年，距第一个网站出现仅 4 年，是指使用欺骗性电子邮件和网站非法获取用户个人和公司信息的行为。这些信息——用户名、密码、信用卡——后来被用来窃取金钱或更多信息。
“网络钓鱼”这个词本身是“钓鱼”和“phreaks”的组合，黑客过去常常这样称呼自己。网络钓鱼的做法被认为是社会工程学的一种形式，这是一个通过在网络安全环境中虚假地代表自己来操纵人们的术语。
网络钓鱼技术的类型
鱼叉式网络钓鱼
什么是鱼叉式网络钓鱼？鱼叉式网络钓鱼针对特定的个人或组织，而不是随机用户。这种骗局通常意图窃取特定受害者的敏感数据或信息，例如用于恶意目的的帐户密码或财务信息。它需要有关受害者的特定知识，例如一些个人详细信息。网络犯罪分子通常使用电子邮件中的这些信息来假装他们是值得信赖的组织或个人，并获取他们需要的数据。
鱼叉式网络钓鱼与网络钓鱼
它们都是旨在窃取敏感信息的在线攻击。但是，网络钓鱼是此类攻击的更通用术语，因为这基本上是任何欺骗受害者共享敏感数据的尝试。根据鱼叉式网络钓鱼的定义，它是针对特定受害者进行个性化设置的。它需要更多的思想、时间和知识来实现它的目标。由于鱼叉式网络钓鱼的消息是个性化的，因此更难识别这些类型的攻击。
有助于防止鱼叉式网络钓鱼的方法通常是注意您的在线状态。为了避免鱼叉式网络钓鱼，请遵循以下提示：
- 注意您在互联网上发布的个人信息
- 使用智能和强密码
- 定期更新您的软件
- 打开电子邮件和点击链接时要小心
Microsoft 365 网络钓鱼
这些类型的攻击是针对 Microsoft 365 用户的网络钓鱼电子邮件。攻击者通常做的最常见的事情之一是通过伪装文件扩展名来诱骗受害者下载文件。攻击者使用特殊的 Unicode 字符，即从右到左的覆盖。例如，它允许他们将“.exe”文件伪装成“.txt”文件。结果，受害者下载了“.exe”文件，该文件在他们的计算机或笔记本电脑上安装了恶意软件。
捕鲸网络钓鱼
捕鲸网络钓鱼是一种针对性很强的攻击。这种类型的网络钓鱼攻击针对特定的个人，例如高级管理人员，并伪装成合法电子邮件。它试图鼓励受害者采取特定行动，通常与转账或提供特定信息有关。捕鲸钓鱼邮件通常以大型金融机构为目标，并且比一般的钓鱼邮件更复杂，因为它们针对的是 C 级高管。
这些电子邮件通常包含有关组织/C 级主管的个性化信息，营造紧迫感，符合商业基调，并鼓励您执行以下操作：
- 单击最终会带来恶意软件的链接
- 将钱转入攻击者的银行账户
- 提供有关企业或个人的更多信息
语音钓鱼
语音网络钓鱼是一种诱骗个人通过电话向第三方提供重要财务或个人信息的攻击。您可能会通过各种渠道和设备成为语音网络钓鱼攻击的受害者，例如语音电子邮件、智能手机、固定电话、IP 语音等。
这种攻击的消息通常会告知受害者与他们的银行账户/信用卡或借记卡等相关的可疑活动。然后攻击者鼓励受害者拨打电话号码并提供更多个人信息或验证他们的账户/身份. 为了保护自己免受此类攻击，最好的方法是通过您拥有的有效联系渠道致电给定机构，并确保您的帐户未被盗用。
商业电子邮件泄露 (BEC)
商业电子邮件妥协是一种看似合法的电子邮件，要求采取特定行动并针对特定公司。消息中的请求通常是关于将资金转移到攻击者的银行账户：
- 假装是从更新的邮寄地址发送发票的“常规供应商”
- 冒充公司总裁
- 冒充公司员工并盗用了他们的电子邮件地址
- 冒充公司律师
社交媒体网络钓鱼
社交媒体网络钓鱼与通过 Facebook、Instagram、Twitter、LinkedIn 等社交媒体进行的攻击有关。其目的是窃取您的个人信息或接管您的社交媒体帐户。由于获取数据以访问金融账户，此类攻击还可能导致经济损失。为保护自己免受社交媒体网络钓鱼攻击，请遵循以下简单规则：
- 不要加/接受陌生人为朋友
- 不要点击链接来更新您的个人信息
- 不要为所有帐户使用相同的用户名和密码
- 使用最新版本的操作系统
如何防止网络钓鱼？
因为网络钓鱼确实会让你付出很多代价——从被盗的钱到公司的大量数据泄露——必须采取适当的安全预防措施。为了保持在线安全，我们汇总了您需要牢记的事项清单。
1. 注意电子邮件中的发件人和 URL
最常见的网络钓鱼诈骗之一是通过发送带有品牌名称（通常是调色板）的电子邮件来欺骗大品牌，并说您的帐户有问题并要求您登录“以修复它”。通常，电子邮件的外观与原始品牌非常相似，但是，有一种可靠的方法可以区分您是否正在查看真正的交易。
识别网络钓鱼电子邮件的一个好方法是检查电子邮件地址：诈骗者无法使用公司的实际域名创建电子邮件地址，因此通常看起来像bigbrandname@somethingelse.com而不是help@bigbrandname.com。仔细查看电子邮件地址，而不仅仅是电子邮件客户端中显示的名称！您还应该在单击之前检查 URL。这可以通过将鼠标悬停在电子邮件中提供的 URL 上来完成，它通常会显示它指向的域，因此您可以看到这封电子邮件实际想带您去哪里。如果它不是该品牌的官方域名，请不要点击它。
2. 避免下载你不期望的电子邮件附件
有时电子邮件看起来像合法的商业电子邮件，他们并不假装是大公司，而是发送包含某种恶意软件的附件。电子邮件的结构通常是商业报价或由收件人自己的公司/管理层发送的包含敏感信息文件的电子邮件。
如果您不知道发件人是谁，绝对不要打开任何附件。如果您认识发件人，但您对他们没有任何期望，或者其中有可疑之处，则最好谨慎行事。打电话给发件人并询问他们是否打算向您发送任何东西，因为有时诈骗者会侵入人们的电子邮箱并通过向他们的联系人发送垃圾邮件来使用它们进行网络钓鱼攻击。
最常见的附件格式是 zip（通常不允许使用 .exe），但是，即使 Microsoft Office 文件也可能包含病毒，其中可能包含需要启用的宏。总的来说，要留意各种附件。
3. 始终检查您登陆的网站
如果您碰巧点击了钓鱼链接（通常是通过电子邮件或即时消息），它通常会将您带到某种形式的网站。这些表格的目的通常是收集您最敏感的信息——用户名和密码。为了确保您位于正确的站点，在填写任何数据之前，请检查浏览器地址栏中的网站地址。
诈骗者可以创建一个与各自品牌的设计非常相似的网站，但他们不能使用其官方域名或在域名中包含品牌名称（假设该品牌受商标保护）。因此，这些域通常可能类似于品牌名称，但绝不会是原来的名称，并且会有额外的符号、字母或单词。
通常，诈骗域名看起来完全没有意义，有时设计和流程也让人感觉很奇怪，尤其是当它是您经常看到的知名品牌时。例如，当登录 Gmail 时，Google 绝不会要求您选择您的电子邮件提供商或在同一屏幕上输入您的电子邮件和密码。因此，您经常会在钓鱼网站上看到的流程被设计成类似于原始流程，但事实并非如此。
4. 忽略金钱请求
社会工程师经常使用的另一种在线骗局是歪曲自己并以某种形式索要钱财。此类网络钓鱼电子邮件的一个示例是遇到麻烦的人寻求经济帮助；你被要求寄出少量的钱，并承诺你会得到更多的回报。
有时，这些骗局可能采取勒索的形式。一个流行的例子是过去几年流传的一封电子邮件，声称用户通过自己的网络摄像头观看成人内容并索要钱财。其实，这次诈骗袭击太可怕了，上了新闻，吓坏了——可以理解！ 无论哪种方式，如果您收到陌生人以任何形式提出的付款请求，通常都是骗局；无论情况如何，都不要透露金钱或财务信息。
收到钓鱼邮件怎么办？
每次收到邮件时，您都需要格外注意邮件地址、URL、拼写等。检查这些并确定该邮件实际上是钓鱼邮件后，您需要按照以下所有步骤操作：
- 不要点击任何链接，不要打开任何附件，不要回复；
- 通过官方渠道联系涉嫌发件人进行沟通；
- 向您的公司、电子邮件提供商、政府机构和据称发送电子邮件的组织报告该电子邮件；
- 将发件人标记为垃圾邮件或垃圾邮件；
- 删除电子邮件并从回收站/已删除项目文件夹中删除。
如何举报钓鱼邮件？
如前所述，您需要向多个人/机构报告钓鱼邮件。在这里，我们将向您展示如何向电子邮件提供商和政府机构报告电子邮件。
如何向您的电子邮件提供商报告网络钓鱼电子邮件
让我们以 Gmail 帐户为例。在 Gmail 的“回复”选项旁边，单击“更多”选项并选择“报告网络钓鱼”。如果您是 Outlook 用户，则需要从邮件列表中选择网络钓鱼电子邮件，然后在阅读窗格上方选择“垃圾邮件”>“网络钓鱼”>“报告”。其他电子邮件提供商也有类似的易于使用的选项来报告网络钓鱼电子邮件。
如何根据您所在的国家/地区向特定机构报告
反网络钓鱼工作组 (APWG) 是一个旨在消除网络犯罪的国际联盟。如果您收到可疑或恶意电子邮件，请通过reportphishing@apwg.org将其转发给该组织。 您可以在下面看到一些其他国家/地区特定的机构，它们也可以为您提供帮助：
- 对于美国，将网络钓鱼电子邮件转发至国家网络安全通信和集成中心 (NCCIC)，地址为phishing-report@us-cert.gov。
- 对于英国，请向英国欺诈和网络犯罪报告中心Action Fraud报告网络钓鱼电子邮件。
- 如果您居住在欧盟国家/地区，您可以在这里找到与您所在国家/地区相对应的报告网站，以防您成为网络犯罪的受害者。
