近年來，不法分子的攻擊手段愈發(fā)多樣且層出不窮——勒索軟件（Ransomware）、企業(yè)電子郵件攻擊（Business Email Compromise，BEC）、CEO欺詐（CEO scam/fraud）、魚叉式網(wǎng)絡釣魚（spear phishing）、語音釣魚（vishing）等等。許多企業(yè)客戶已經(jīng)因此蒙受數(shù)據(jù)泄露等損失，逐漸開始著眼于提升員工安全意識，建立企業(yè)安全文化。

什么是網(wǎng)絡釣魚

網(wǎng)絡釣魚是一種社會工程攻擊，通過偽裝成可信的個人或機構來誘騙目標泄露敏感信息（如用戶名、密碼、信用卡號等），或者點擊惡意鏈接，導致惡意軟件安裝或進一步的網(wǎng)絡攻擊。據(jù)調(diào)查91%的成功數(shù)據(jù)泄露都是從魚叉式網(wǎng)絡釣魚攻擊開始的。

網(wǎng)絡釣魚通常通過以下方式實施：

偽造電子郵件或短信。釣魚攻擊通常通過發(fā)送相同的郵件給大量用戶，要求填寫個人信息。這些信息將被攻擊者用于非法活動。郵件通常帶有緊急提示，要求用戶輸入憑證更新賬戶信息或驗證賬戶，或者通過鏈接填寫表格以訪問新服務。

創(chuàng)建虛假的網(wǎng)站，模仿合法機構的網(wǎng)站外觀。網(wǎng)站偽造的目的是讓用戶輸入可用于詐騙或?qū)κ芎φ甙l(fā)起進一步攻擊的信息。

使用社交媒體消息進行誘導。例如，詐騙短信試圖通過指向網(wǎng)絡釣魚網(wǎng)站的鏈接來誘騙受害者泄露個人信息。

魚叉式網(wǎng)絡釣魚。黑客想要攻擊的目標是特定的個人或組織，他們想要的是比信用卡數(shù)據(jù)更有價值的信息。他們會對目標進行研究，使攻擊更加個性化，增加成功的機會。

在語音網(wǎng)絡釣魚中，網(wǎng)絡釣魚者會打電話給用戶并要求用戶撥打號碼。目的是通過電話獲取銀行賬戶的個人信息。語音釣魚主要是通過偽造的來電顯示完成的。

涉及惡意軟件的網(wǎng)絡釣魚詐騙需要在用戶的計算機上運行。惡意軟件通常附加在網(wǎng)絡釣魚者發(fā)送給用戶的電子郵件中。一旦您點擊該鏈接，惡意軟件就會開始運行。有時，惡意軟件也可能附加到可下載的文件中。

惡意廣告是包含惡意腳本的廣告，用于下載惡意軟件或強制將不良內(nèi)容推送到用戶電腦上。常見的攻擊方式包括利用Adobe PDF和Flash中的漏洞。

網(wǎng)絡釣魚攻擊的目標包括個人和企業(yè)，目的是竊取信息、獲取財務利益或破壞業(yè)務。

圖1：經(jīng)典網(wǎng)絡釣魚電子郵件

如何識別和阻止網(wǎng)絡釣魚

安全主管需要知道員工收到釣魚郵件時會發(fā)生什么：他們會點擊鏈接嗎？被誘騙泄露憑證嗎？下載帶有惡意軟件的附件嗎？他們會直接忽略或刪除電子郵件而不適當通知他們的安全團隊嗎？還是他們會報告可疑的網(wǎng)絡釣魚并在人為防御層中發(fā)揮積極作用？通過提供識別和應對潛在威脅所需的知識、技能和工具，企業(yè)可以將員工從負擔轉(zhuǎn)變?yōu)閺姶蟮馁Y產(chǎn)。

如何識別網(wǎng)絡釣魚

檢查發(fā)件人地址：仔細核對郵件發(fā)件人的地址是否與合法機構一致，注意細微的拼寫差異。

警惕不合理的緊急請求：釣魚信息常包含緊急措辭（如“立即驗證賬戶”），目的是讓受害者倉促操作。

分析鏈接和附件： 不點擊郵件或短信中的可疑鏈接。鼠標懸停在鏈接上，檢查是否指向可信網(wǎng)站。

避免泄露敏感信息：正規(guī)機構通常不會通過電子郵件或短信要求提供密碼、銀行賬戶等信息。

檢查語法和排版：釣魚信息常含有拼寫、語法錯誤或不符合正規(guī)品牌風格的設計。

如何阻止網(wǎng)絡釣魚

教育和培訓：提高員工和個人的安全意識，教會他們識別釣魚攻擊。

郵件過濾：部署反釣魚郵件網(wǎng)關，攔截惡意郵件。

多因素認證（MFA）：即使賬戶憑證被盜，MFA也能增加一層保護。

監(jiān)控和日志記錄：及時發(fā)現(xiàn)異?；顒?。

安全補?。捍_保操作系統(tǒng)、瀏覽器和安全軟件保持最新。

測試：通過模擬釣魚測試來評估和增強員工的防護能力。

艾體寶KnowBe4如何幫助企業(yè)建立安全意識

艾體寶KnowBe4是一個致力于提供安全意識培訓和釣魚模擬服務的平臺，幫助企業(yè)減少因人為錯誤導致的網(wǎng)絡威脅。它集網(wǎng)絡釣魚、安全培訓、安全分析與一體，其服務包括：

1.有效且真實的釣魚模擬測試

提供基線測試，通過免費的模擬網(wǎng)絡釣魚攻擊來評估用戶的 Phish-prone? 百分比。

部署一流的、全自動的模擬網(wǎng)絡釣魚攻擊、數(shù)千個無限制使用的模板、自定義網(wǎng)絡釣魚模板以及社區(qū)網(wǎng)絡釣魚模板。

根據(jù)用戶的培訓和網(wǎng)絡釣魚歷史記錄，使用人工智能來推薦和提供知情且個性化的網(wǎng)絡釣魚活動。模擬真實的網(wǎng)絡釣魚場景，測試員工的反應和應對能力。

2.實時分析和報告

提供詳細報告，展示安全意識培訓和網(wǎng)絡釣魚的統(tǒng)計數(shù)據(jù)和圖表，幫助企業(yè)了解安全意識薄弱點并針對性改進。

企業(yè)級報告為用戶提供了 60多個內(nèi)置報告的集合，其中的見解可提供整個企業(yè)隨時間變化的整體視圖。

通過執(zhí)行報告，用戶將收到高級執(zhí)行級報告，以便幫助企業(yè)的安全計劃做出有效的數(shù)據(jù)驅(qū)動決策。

最后，企業(yè)可以使用行業(yè)基準將自己的網(wǎng)絡釣魚傾向百分比、安全意識熟練度分數(shù)和安全文化分數(shù)與行業(yè)中的其他企業(yè)進行比較。

3.全面的安全意識培訓

提供結構化的培訓計劃，涵蓋網(wǎng)絡釣魚、社會工程、惡意軟件識別等。

提供世界上最大的安全意識培訓內(nèi)容庫；包括交互式模塊、視頻、游戲、海報和新聞通訊。

擁有移動端的APP，可隨時隨地在手機、平板等終端上輕松查看培訓互動模塊視頻。

通過 KnowBe4，企業(yè)可以利用用戶評估來發(fā)現(xiàn)在整個安全意識培訓過程中，企業(yè)的用戶既了解安全知識又了解安全文化。企業(yè)還將收到基于網(wǎng)絡釣魚安全測試活動中用戶表現(xiàn)指標的人工智能驅(qū)動的培訓建議。

優(yōu)勢：通過安全意識培訓和持續(xù)測試，KnowBe4能幫助企業(yè)顯著降低因釣魚攻擊導致的安全事件，同時強化企業(yè)文化中的安全意識。

圖2：KnowBe4報告部分內(nèi)容展示

圖3：KnowBe4網(wǎng)絡釣魚報告部分內(nèi)容展示

審核編輯 黃宇