网络钓鱼
概述
网络钓鱼(Phishing)是一种冒充可信机构或个人，通过电子邮件、短信、电话、虚假网站等方式窃取用户个人信息（密码、信用卡号、账户信息等）的网络攻击类型。它是'密码(Password)'和'钓鱼(Fishing)'的合成词，自20世纪90年代中期首次出现以来持续演变，已成为全球性的严重安全威胁。网络钓鱼利用社会工程学技术攻击人类心理弱点，这一点与技术性黑客攻击有所区别，同时也被用作勒索软件或商业电子邮件入侵(BEC)等二次攻击的入口。
主要内容
网络钓鱼的类型
- 电子邮件钓鱼：最传统的形式，大量发送冒充银行、政府机构、大型IT公司等的电子邮件，诱导用户访问虚假登录页面。最近，伪造发件人地址或使用与官方域名相似域名的欺骗技术很常见。
- 短信钓鱼(Smishing)：利用SMS短信进行的网络钓鱼，通过伪装成快递配送、新冠疫苗接种、金融诈骗通知等诱导用户点击链接。它在移动环境中迅速传播，也常诱导用户安装恶意应用程序。
- 语音钓鱼(Vishing)：利用电话进行的网络钓鱼，冒充金融机构职员、警察或检察官，要求转账或提供个人信息。最近有报道称，利用AI语音合成技术复制熟人或上司声音的案例。
- 鱼叉式钓鱼(Spear Phishing)：针对特定个人或组织的精密攻击，攻击者通过事先调查目标的社交媒体、公司网站、新闻等，制作定制化消息。冒充CEO的电子邮件(BEC)是典型例子。
- 鲸钓(Whaling)：针对高管或名人的鱼叉式钓鱼子类型，旨在获取巨额金钱或窃取机密信息。
- 克隆钓鱼(Clone Phishing)：复制用户之前收到的正常电子邮件后，仅将链接或附件替换为恶意内容并重新发送的技术。
网络钓鱼攻击的典型过程
1. 信息收集：攻击者收集目标机构的标志、措辞、电子邮件格式等，或通过社交媒体、数据泄露信息获取个人信息。
2. 制作冒充消息：基于收集的信息，编写看似可信发件人的电子邮件或短信。内容主要诱导紧迫感（账户停用、安全警告）或好奇心（中奖、赠品）。
3. 诱导点击：包含虚假链接或恶意附件，诱导用户点击。链接使用与真实域名相似的变体域名（例如go0gle.com）或利用URL缩短服务。
4. 窃取信息：在虚假登录页面收集输入的凭证，或安装恶意软件以窃取更多信息。
5. 二次攻击：利用窃取的信息进行金融诈骗、账户劫持、传播勒索软件、进一步网络钓鱼攻击等。
受害案例与影响
- 金钱损失：根据FBI互联网犯罪投诉中心(IC3)的数据，2023年仅在美国，网络钓鱼相关损失就超过100亿美元。在韩国，语音钓鱼损失每年达数千亿韩元。
- 数据泄露：企业方面，客户数据库、知识产权、商业机密等泄露，导致巨大的声誉损失和法律责任。
- 勒索软件感染：通过钓鱼电子邮件传播的勒索软件在2024年占所有勒索软件感染的70%以上，是主要途径。
- 政治与社会影响：选举期间，冒充政治家或政党的网络钓鱼攻击可能导致舆论操纵或内部文件泄露。
预防与应对方法
- 个人层面：避免点击可疑电子邮件或短信中的链接，确认发件人地址和域名，启用双重认证(2FA)，定期更改密码，安装并更新防病毒软件。
- 组织层面：定期进行安全教育和模拟钓鱼演练，引入电子邮件过滤和垃圾邮件拦截解决方案，应用DMARC/DKIM/SPF等电子邮件认证协议，建立异常检测系统(IDS)，制定事故响应计划。
- 技术对策：基于AI的网络钓鱼检测系统、URL信誉分析、行为分析、利用沙盒技术检查附件。
- 报告与应对：遭受网络钓鱼攻击时，立即联系相关机构（银行、信用卡公司）冻结账户，向金融监督院或警察厅网络调查科报告，执行密码更改和账户恢复程序。
最新趋势
2024~2025年，随着生成式AI技术的发展，网络钓鱼攻击变得更加精密。AI生成的语法完美的电子邮件、个性化消息、深度伪造语音和视频被用于语音钓鱼，使得以往通过语法错误或生硬表达识别的方法失效。此外，利用QR码的'二维码钓鱼(Quishing)'激增，通过餐厅菜单或停车指南等日常QR码诱导用户访问恶意网站的案例增多。针对云服务和SaaS平台的网络钓鱼也呈增长趋势，尤其是针对Microsoft 365、Google Workspace账户的劫持尝试频繁。作为应对，安全行业正在加速引入基于AI的实时检测、行为分析、零信任架构，并通过国际合作积极进行钓鱼网站拦截和犯罪组织打击行动。
相关主题
- [[勒索软件]]
- [[社会工程学]]
- [[网络安全]]
- [[商业电子邮件入侵]]
- [[深度伪造]]
- [[双重认证]]
---
AI自动生成文档 · 社区共同改进