为什么到今天网络钓鱼仍然是最主要的攻击方法？

尽管安全防护手段已经经过了几十年的迭代和进步，但网络钓鱼自 1990 年代以来一直存在。根据 IBM Security X-Force不久前发布的威胁情报指数，网络钓鱼仍然是攻击者者访问受害者网络的最惯用手段。X-Force 去年阻止的攻击活动中，约有 41%均有使用网络钓鱼策略。其中涵盖了所有类型的网络钓鱼，包括群发电子邮件和高度针对性的电子邮件。

 

事实上，哪怕是世界上技术最先进的攻击者，在发起一次攻击活动前，也会尝试利用网络钓鱼来植入勒索软件、恶意软件、远程访问木马或恶意链接等，攻击者会仔细研究目标公司的网站和社交媒体账号，一切有关企业近况的信息对于他们来说都是无价的，攻击者可以根据这些信息构建有针对性的欺诈性内容。

 

IBM Security X-Force 的社会工程专家指出，之所以网络钓鱼仍然备受攻击者青睐，是因为它既简单又高效。“网络钓鱼攻击越来越复杂，攻击者不断提高自己的能力和进攻工具，他们也正在以更有组织、更有创新性和更聪明地方式来定位目标。”

 

 

以下四点揭示了网络钓鱼威胁日益严峻的原因：

 

远程办公模式的兴起为攻击者提供了机会。在远程和混合工作时代，企业严重依赖电子邮件，攻击者正在发送更多电子邮件以利用企业的这个弱点。同时，这种办公模式也使得员工之间无法当面提醒对方收件箱中可能存在的可疑电子邮件。

 

网络犯罪分子在不断升级他们的钓鱼欺诈策略。攻击者早已发现，通过操控员工的心理能够提高网络钓鱼攻击的成功率。IBM Security X-Force团队发现，如果在发送钓鱼邮件的同时，再通过电话或短信的方式对目标进行双重诱导时，钓鱼邮件的点击率会上升至53.2%，这一数字比群发钓鱼邮件实现的点击率高出了3倍。甚至人们会明知电子邮件十分可疑的情况下，按捺不住好奇心而点击查看。

 

暗网黑市组织越来越成熟专业。今天的攻击者已经不再需要自己开发一套欺诈剧本，或是准备一套专业的技术工具，因为在暗网黑市上这些需求都能够得到很好的满足，网络犯罪分子可以在暗网上买到任何类型网络钓鱼指令工具包。“当你想到暗网时，你会认为这些犯罪分子是阴暗的或无组织的，”IBM Security X-Force 的社会工程专家表示，“但有些人几乎像专业企业一样运作。” 

 

员工安全意识教育方式创新性不足。IBM Security X-Force团队表示，尽管电子邮件诈骗策略越来越先进，但员工安全培训却并没有跟上变化的步伐。许多公司每年都会对员工进行安全培训，但简单的说教和答题测试价值十分有限。“你可以给电脑打补丁，你可以给服务器打补丁——但想一个人打补丁是很难的，或许需要更激进的安全教育方式。”     

 

 

网络钓鱼电子邮件只是一次网络攻击活动到来之前的先兆。一旦成功通过钓鱼打入企业内部，攻击者会迅速部署下一阶段的攻击，例如勒索软件或数据盗窃。根据数据泄露报告的成本，由网络钓鱼诈骗引起的数据泄露平均给公司造成 465 万美元的损失。

IBM Security X-Force 网络威胁情报战略分析师表示：“网络钓鱼提出了人类和技术挑战的真正有趣的交叉点。这就是让防御变得如此具有挑战性的原因。”  

 

不幸的是，当前尚没有一种工具或解决方案可以完全阻止所有网络钓鱼攻击。IBM Security X-Force 建议采用分层方法，从过滤恶意消息的安全解决方案开始做起，比如零信任安全。

 

零信任安全解决方案将通过不断验证用户的身份并最大限度地减少可以访问有价值数据资产的人数，防止攻击者深入系统。拥有成熟的零信任策略可以在发生违规事件时节省资金。根据数据泄露成本报告，采用这种策略的组织平均比不使用零信任的组织少花费 176 万美元。

 

IBM Security X-Force团队表示，无论用什么策略来保护企业安全，最重要的一点不是采购何种类型的安全产品，而是要真正将安全产品用起来。“不要只是买了安全产品后，插上电源就放在一边。攻击者在变得更老练，他们在学习如何反制用来防御的所有技术方法，因此，不断的测试当前的安全措施，并根据攻击者的思路进行动态调整是十分重要的。”

 

最后，IBM Security X-Force敲定，以真实攻击实例来开展员工安全意识教育至关重要，员工只有真正了解攻击者的思路和攻击手段，了解攻击可能会造成的损害，才有可能在下一次钓鱼攻击中识别他们。“每次员工收到网络钓鱼电子邮件时，公司都应该对其进行截图，并分解员工应该发现的所有危险信号，以此来提醒员工时刻保持警惕。”