鱼叉式网络钓鱼攻击：有针对性的电子邮件欺诈详解
鱼叉式网络钓鱼是一种复杂的网络攻击，针对特定个人或组织，使用精心研究的个人信息来创建令人信服的欺诈通信。与向数千人发送通用邮件的大规模网络钓鱼活动不同，鱼叉式网络钓鱼攻击经过精心策划，伪装成来自可信同事、高管、供应商或机构的合法通信。攻击者花费数天或数周时间通过社交媒体、公司网站和公开记录研究目标，以收集有关工作职责、人际关系、当前项目和沟通方式的详细信息。 根据FBI互联网犯罪投诉中心的数据，商务电子邮件泄露（鱼叉式网络钓鱼的一种形式）在2022年造成了超过27亿美元的损失，单次事件平均损失在5000至50000美元之间。这些攻击变得越来越复杂，犯罪分子冒充首席执行官要求紧急电汇、人力资源部门索要W-2表格或IT管理员要求重置密码。这些电子邮件的个性化特性绕过了许多传统安全过滤器，利用的是人类信任而非技术漏洞。 鱼叉式网络钓鱼的危害超越了直接的经济损失。成功的攻击可能危害整个网络，导致影响数千客户的数据泄露、勒索软件感染、知识产权盗窃和长期声誉损害。平均而言，鱼叉式网络钓鱼攻击从初次接触到利用需要1至7天，使受害者几乎没有时间在造成重大损害前认识到欺骗。财富500强公司、小型企业、医疗机构和政府机构等各个部门的组织都面临来自有组织犯罪集团和国家赞助的行为体的持续鱼叉式网络钓鱼威胁。
常见手法
- • 通过LinkedIn、公司网站和社交媒体广泛研究目标，收集姓名、职位、人际关系、当前项目和沟通风格等信息，然后将这些信息融入看起来由内部生成的电子邮件中。
- • 冒充高管或高级官员，创建几乎相同的电子邮件地址（改变一个字符或使用不同的域名）并模仿写作风格，向下属要求紧急电汇或敏感信息。
- • 通过先前的数据泄露破坏合法的电子邮件账户，然后使用这些经过身份验证的账户向联系人发送恶意请求，利用组织内已建立的信任关系。
- • 在季度末截止日期、假期或已知商务活动周围战略性地发动攻击，当目标人员紧张或关键人员无法通过二级途径验证异常请求时发动攻击。
- • 嵌入指向Office 365、Google Workspace或企业VPN的令人信服的仿制登录页面的恶意链接，在受害者尝试身份验证时窃取凭证，然后使用被盗访问权限进行进一步攻击。
- • 创建涉及正在进行的项目、供应商关系或监管合规要求的精心设计的借口，施压目标快速采取行动，无需遵循正常的验证程序或获得额外批准。
如何识别
- 电子邮件地址与合法企业或同事地址非常相似，但包含细微差异，如额外字符、拼写错误或替代域名（[email protected]而不是@companyinc.com）。
- 请求中出现不寻常的紧迫性或保密性，特别是要求绕过正常程序、避免告知主管或在特定截止日期前完成操作，而没有充分解释匆忙的原因。
- 敏感行动请求在非工作时间、假期或假定发件人通常无法使用的时间到达，特别是来自声称在出差或开会中的高管的电汇请求。
- 与被冒充人员常见的沟通风格、语气或格式相比，写作风格、语气或格式存在细微不一致，包括不寻常的问候语、签名块或看起来不符合人设的措辞。
- 通过电子邮件链接访问的登录页面具有可疑的URL，不匹配官方域名（microsof-login.com而不是microsoft.com）或缺乏适当的安全证书（没有HTTPS锁定图标）。
- 引用项目、关系或看起来准确但包含小错误、过时信息或可能从公开来源而非内部知识收集的细节的请求。
如何保护自己
- 在所有电子邮件账户、云服务和财务系统上实施和强制执行多因素身份验证（MFA），以确保仅被盗凭证无法授予攻击者对关键系统或数据的访问权限。
- 建立带外验证程序，要求对任何电汇、凭证请求或支付信息变更进行电话确认或亲自确认，使用已知的电话号码而非可疑电子邮件中提供的联系方式。
- 进行定期安全意识培训，包括针对贵组织的真实鱼叉式网络钓鱼模拟，教导员工识别个性化攻击，并创建一种质疑可疑请求受到鼓励的文化。
- 配置电子邮件安全系统，标记或隔离来自与内部地址高度匹配的外部来源的电子邮件，并在所有外部电子邮件上实施可视警告，使收件人能够快速识别来自组织外部的通信。
- 限制企业网站和社交媒体上关于组织结构、员工职位、当前项目和内部流程的公开可用信息，以限制攻击者在侦察阶段可能收集的情报。
- 制定并强制执行清晰的敏感行动批准工作流程，如超过特定阈值的电汇、供应商支付变更和对机密数据的访问，要求多个授权个人完成，防止单点故障。
真实案例
一家中型制造公司的财务经理收到一封看起来来自首席执行官的电子邮件，要求紧急转账47000美元给一个新供应商用于机密收购项目。该电子邮件周五下午晚些时候到达，指示不要与其他高管讨论。电子邮件地址是[email protected]而不是合法的@companygroup.com。该经理匆忙赶在周末前离开，且知道首席执行官正在出差，无需核实就处理了转账。到了周一，公司发现资金已被转入一个海外账户，无法追回。
一名人力资源协调员收到一封来自公司外部工资单处理商的电子邮件，要求为税务合规审计更新所有员工的W-2表格。电子邮件包含了正确的工资单公司徽标，并参考了最近关于年末处理的对话。协调员将请求的表格下载到电子邮件中提供的共享文件夹链接。数小时内，攻击者使用被盗的社会安全号码和财务信息为200名员工申报了欺诈性税务申报表。该电子邮件实际上来自一个相似的域名，真正的工资单公司确认他们从未发出过这样的请求。
一家医疗保健组织的IT管理员点击了看起来来自微软的电子邮件中的链接，关于需要立即密码验证的关键Office 365安全更新。该链接导向一个微软登录页面的令人信服的仿制品。输入凭证后，攻击者获得了具有提升权限的管理员账户访问权限，在网络上安装了勒索软件，并窃取了50000条患者记录。该攻击导致系统停机三天，给该组织造成超过200000美元的恢复费用和监管罚款。恶意链接的URL是microsoftservices-update.com而非合法的microsoft.com域名。