克隆钓鱼：当合法邮件变成危险武器
克隆钓鱼是一种复杂的攻击方式，网络犯罪分子截取或重新创建来自可信组织的合法邮件，然后将几乎相同的副本连同恶意链接或附件重新发送。与从零开始创建虚假邮件的传统钓鱼不同，克隆钓鱼利用了你之前收到或预期收到的真实通讯的可信度。攻击者通常会监控电子邮件流量，复制你银行、雇主或服务提供商的真实邮件，并将合法链接替换为指向凭证收集网站或恶意软件下载的恶意链接。 根据FBI 2023年《互联网犯罪报告》，这种技术的使用量同比增长了35%，每个受害者的平均损失达到2000美元。这种攻击特别有效，因为克隆的邮件通常在合法邮件发送后不久就会到达，出现在同一个邮件线程中，并包含相同的品牌标识、徽标和消息内容。克隆钓鱼攻击经常针对商业专业人士在发票处理、密码重置请求和软件更新通知期间发动。 克隆钓鱼的危险性在于它利用了已建立的信任关系。当你收到看似来自IT部门的后续邮件或来自信用卡公司的二次通知时，你的警惕性自然会比对意外通讯时更低。攻击者利用这种心理弱点，因为收件人更有可能点击看起来是继续合法对话的邮件中的链接。美国联邦贸易委员会报告称，2023年涉及克隆钓鱼的商业邮件泄露方案造成的损失超过27亿美元，使其成为代价最大的网络诈骗形式之一。
常见手法
- • 通过被入侵的邮箱账户或中间人攻击拦截合法邮件，使攻击者能够在克隆邮件并进行恶意修改之前看到真实通讯。
- • 创建来自银行、雇主或服务提供商等可信发件人的邮件完全副本，仅替换嵌入的链接或附件，而保持所有其他内容、品牌和格式不变。
- • 将克隆邮件的发送时间设定为在合法邮件发送后数小时至数天内到达，通常声称是后续、更正或需要立即采取行动的紧急更新。
- • 欺骗发件人地址，使克隆邮件看起来来自同一合法来源，使用显示名称操纵或相似但不同的域名等技术。
- • 嵌入恶意链接，将用户重定向到与合法网站完全相同的凭证收集登录页面，当受害者尝试登录时捕获用户名和密码。
- • 使用被入侵的同事、合作伙伴或已知联系人的邮箱账户发送克隆邮件，使攻击看起来来自于可信网络内部，从而提高可信度。
如何识别
- 在较短时间内收到关于同一主题的重复或近似重复的邮件，特别是如果它们声称前一条邮件包含错误或需要立即采取行动。
- 注意发件人邮箱地址中的细微差异，如额外字符、数字或与合法来源仅差一个字母的相似域名。
- 发现邮件中的链接在悬停时显示的URL不匹配合法组织的域名，或通过陌生的缩短URL或IP地址进行重定向。
- 检测到后续邮件中出现意外的紧急感，声称你的账户将被暂停、付款被拒绝或需要立即验证，而原始通讯中没有这样的紧急感。
- 观察到徽标或签名中的细微格式不一致、异常的字体变化或小幅度更改，这些在之前来自同一发件人的合法邮件中没有出现过。
- 收到你未发起的密码重置请求、发票更新或送货通知，特别是如果它们在收到类似合法通讯后不久就到达。
如何保护自己
- 通过独立获取的通讯渠道（如官方网站上的电话号码）验证可疑邮件，绝不使用来自可疑邮件本身的联系信息。
- 直接在浏览器中手动输入网站URL，而不是点击邮件中的链接，特别是对于需要登录凭证的银行、邮箱或其他敏感账户。
- 在包括邮箱、银行和工作系统在内的所有关键账户上启用多因素身份验证，这样即使攻击者通过克隆钓鱼获得你的密码，也无法访问这些账户。
- 在点击前将鼠标悬停在所有链接上以检查实际目的地URL，警惕任何不指向组织合法域名或使用URL缩短器的链接。
- 实施邮件过滤规则和安全软件，检测欺骗性发件人地址，标记声称来自内部来源的外部邮件，并警告具有可疑特征的邮件。
- 与你的组织建立财务交易、发票更改和敏感请求的验证程序，在采取行动前需要通过第二种通讯方式进行确认。
真实案例
一位小企业主收到了一份看似来自其办公用品供应商的二次通知，关于一份1850美元的未支付发票。这封邮件与两天前收到的合法发票完全相同，包括相同的订单详情和供应商徽标。唯一的区别是一个链接，声称"查看更新的付款详情"，但指向假冒的付款门户。输入银行凭证进行付款后，攻击者在欺诈被发现之前耗尽了企业支票账户中的12400美元。
一位科技公司的员工收到了一封看似来自其IT部门的克隆邮件，要求在安全更新后验证其Microsoft 365账户。这封邮件是三小时前公司范围内发送的合法IT通知的精确副本。员工点击了验证链接，在一个令人信服的虚假登录页面上输入了凭证。在30分钟内，攻击者访问了该员工的邮箱账户，向公司客户发送了付款重定向请求，导致47000美元的付款被转移。
一位房主收到了一封看似来自其抵押贷款服务商的克隆邮件，要求确认代管账户详情。这条消息在合法的年度代管分析报表发送一天后到达。相信这是确保准确性的后续措施，房主点击了链接并提供了在线银行凭证。诈骗分子使用这些凭证启动了总计8200美元的电汇到海外账户，后来被银行的欺诈检测系统标记为可疑活动。