鱼叉式钓鱼攻击

当罪犯发送网络钓鱼邮件时, 他们把网撒得尽可能宽，希望能捕到鱼. 要做到这一点, 他们发送垃圾邮件，试图说服不知情的用户点击恶意链接或附件, 通常是假装来自合法来源, 都是为了获取敏感信息或有价值的凭证.

长期以来，网络钓鱼攻击一直很普遍，因为它们的部署成本很低, 但仍然有效，有利可图. 但随着电子邮件安全变得越来越复杂, 常见的网络钓鱼策略越来越容易被发现, 即使是那些到达预定目的地的网络钓鱼邮件也不足以有效地欺骗警惕的用户.

因此，攻击者正在采用新的策略，使他们的网络钓鱼邮件更可信. 最初的网络钓鱼方法——广泛撒网——正在让位于专注于使用真实细节来使潜在受害者相信其合法性的方法. 鱼叉式网络钓鱼只是这种攻击方式的一个术语.

鱼叉式网络钓鱼的目标是谁?它是如何工作的?

企业尤其容易受到鱼叉式网络钓鱼攻击, 因为他们公司的很多数据通常都可以在网上免费获得，攻击者可以在没有任何危险信号的情况下进行挖掘. 公司的官方网站可能是公司特定技术细节和术语的金矿, 公司主要人员, 客户, 事件, 甚至是内部软件工具的名称. 像Facebook这样的社交网络, 推特, 和领英通常不仅提供工作地点的个人信息, 或者他们过去工作过的地方, 但是，攻击者只需粗略地搜索一下，就能轻易地发现公司的等级制度.

在鱼叉式网络钓鱼邮件中, 这些在网上免费提供的小细节可以帮助攻击者在他们的电子邮件中散布姓名, 的地方, 或者使用足够有效的术语来说服原本精明的电子邮件收件人点击恶意链接. 该链接可能会将他们发送到一个准备捕获敏感内部凭据的网站, 因此，攻击者可以在公司网络上自由漫游，窃取知识产权或客户数据.

例如, 通过了解组织内部电子邮件地址的结构, 客户经理的名字(通过LinkedIn很方便地自我识别), 关键客户名称(在公司博客上), 谁是销售主管(在公司网站上), 攻击者可以制作一封令人信服的电子邮件给整个账户管理团队, 据说是销售主管说的, 事关他们最大的客户之一的紧急事件.

这封电子邮件可能会说，收件人需要在他们公司内部网的一个特定链接上查看备忘录——这个链接看起来很像他们的内部网门户，但实际上是一个恶意的诱饵版本，目的是捕获用户名和密码. 在报税季，金融团队经常成为鱼叉式网络钓鱼攻击的目标, 假装是公司首席执行官或首席财务官发来的，需要紧急审核W2文件. 

如何防止鱼叉式网络钓鱼攻击

所有打击网络钓鱼的常见智慧也适用于鱼叉式网络钓鱼，并且是防御这类攻击的良好基线. 永远不要点击电子邮件中的链接是防止网络钓鱼类攻击可能造成的损害的铁律. 也就是说, 因为鱼叉式网络钓鱼是一种更复杂的老式网络钓鱼攻击, 组织将需要确保他们的政策参考这些更先进的策略，并实施更强大的解决方案，以帮助员工进行相应的防御.

帮助组织防止鱼叉式网络钓鱼攻击的其他提示包括:

• 提醒员工时刻警惕带有未经请求的附件和链接的电子邮件, 并发送鱼叉式网络钓鱼危险的提醒，特别是在敏感事件(如.g. 在重大公告之后)或一年中的某些时候(例如.g. 报税季节).
• 部署威胁情报解决方案，使用开源和商业威胁情报馈送来实时跟踪和阻止正在使用的网络钓鱼和鱼叉式网络钓鱼活动链接.
• 实施网络钓鱼意识培训计划，让员工全年牢记防范鱼叉式网络钓鱼的良好安全措施.
• 使您的员工能够报告可疑的网络钓鱼消息，以便您的团队可以阻止当前针对您组织的鱼叉式网络钓鱼活动.

一个健壮的 网络钓鱼意识培训计划 超越课堂培训. 最好的培训项目还会定期部署模拟网络钓鱼“测试”,，即向公司员工发送令人信服(但无害)的鱼叉式网络钓鱼邮件. 如果员工落入网络钓鱼的圈套, 他们将能够第一手了解这些活动的有效性以及未来需要寻找的内容，同时在受控环境中保持组织数据的安全.

在打击鱼叉式网络钓鱼的斗争中, 员工是第一线, 这就是为什么每个组织都可以从网络钓鱼意识培训项目中受益的原因 网络钓鱼保护 让他们的员工保持敏锐，时刻警惕这种不断演变的攻击.