什么是鱼叉式网络钓鱼攻击？如何去避免？

导读：鱼叉式网络钓鱼是以特定个人、组织或企业为目标的电子邮件或电子通信诈骗。虽然网络犯罪分子的意图通常是出于恶意目的窃取数据，但也会企图在目标用户的计算机上安装恶意软件。

鱼叉式网络钓鱼攻击运作方式

一封电子邮件到达，虽然明显是来自值得信任的来源，但它将不知情的收件人定向至充斥着恶意软件的伪造网站。这些电子邮件通常会使用巧妙的手段来引起受害者的注意。例如，美国联邦调查局曾提醒人们警惕看似美国国家失踪和受剥削儿童中心发送的电子邮件的鱼叉式网络钓鱼诈骗。

许多时候，这些攻击的幕后黑手都是政府赞助的黑客和黑客活动分子。网络犯罪分子同样也有意向政府和私营公司转售机密数据。这些网络犯罪分子采用独立设计的方法和社会工程技术，有效地创建个性化的消息和网站。因此，即使是组织内的高级别目标，如高管，也会打开自己认为安全的电子邮件。这种疏忽让网络分子能够窃取攻击对方网络所需的数据。

带链接的鱼叉式网页钓鱼是鱼叉式网页钓鱼的一种特殊变种。 它与其他形式的鱼叉式网络钓鱼不同之处在于它使用链接来下载电子邮件中包含的恶意软件， 而不是将恶意文件附加到电子邮件本身， 以避免可能检查电子邮件附件的防御。

通常， 链接将伴随社会工程文本， 并要求用户主动点击或复制并将 URL 粘贴到浏览器中， 从而利用用户执行。 被访问的网站可能使用漏洞攻击来破坏 Web 浏览器， 或者用户会被提示下载应用程序、 文档、 zip 文件， 甚至是可执行

文件， 这首先取决于电子邮件的借口。 攻击者还可以包括旨在与电子邮件阅读器直接交互的链接， 包括旨在直接利用终端系统的嵌入式图像或验证电子邮件的接收（即网络错误/网络信标）。

如何保护自己不受攻击

由于这类攻击的定制设计如此巧妙，传统安全解决方案往往无法阻止。结果，它们变得更加难以察觉。一名员工的失误会给企业、政府乃至非营利组织带来严重的后果。借助所窃取的数据，诈骗者可以泄露商业敏感信息、操纵股价或实施各种间谍活动。此外，鱼叉式网络钓鱼攻击还可以利用恶意软件劫持计算机，将它们组织成可以用于实施拒绝服务攻击的庞大网络，称为“僵尸网络”。

若要对抗鱼叉式网络钓鱼诈骗，员工需要意识到这些威胁，比如伪造电子邮件可能登陆收件箱。除了教育培训，专注于电子邮件安全的技术也是必不可少的。

结论

说到底，用户是最终的安全决定者。安全的好坏最终取决于用户能否以鉴定的眼光阅读所有邮件和警报，并判断信息或链接是否安全。只要决策权在用户手中，网络钓鱼攻击的成功率就会居高不下，这也正是防网络钓鱼行业能够保持持续增长的原因。企业还将继续寻求更多更好的解决方案，为了迎合企业的这一需求，防网络钓鱼技术也要不断的发展。