HTTPS 钓鱼攻击：黑客如何使用 SSL 证书假装信任

让我们回到 1994 年。无需翻出寻呼机或穿上法兰绒衬衫。 这是第一个 SSL 协议诞生的一年。 它由 Netscape 推出，以满足对称为 Internet 的新奇发明增加安全性的日益增长的需求。

后来出现了几个版本的 SSL，它最终变成了我们今天所知道的 TLS。 然而，就像一个糟糕的昵称一样，我们仍然将 TLS 称为 SSL。

自 Web 浏览器问世以来，SSL 的安全性问题一直存在。 网络罪犯喜欢使用 SSL 证书实施网络钓鱼诈骗，并将其伪装成受信任的站点。 这种骗局自 2005 年以来一直存在，当时第一个使用 SSL 证书的网络钓鱼帐户被创建。

根据反网络钓鱼工作组 (APWG) 和贡献者 PhishLabs 的一份报告，2021 年第一季度，83% 的网络钓鱼站点启用了 SSL 加密。 令人惊讶的是，这是自 PhishLabs 于 2015 年开始这项研究以来该数字首次趋于平稳。

但组织不能将此消息作为开始放松防范 SSL 网络钓鱼攻击的理由。 尤其是网络钓鱼威胁总体呈上升趋势，2021 年上半年总数增长了 22%。

为什么攻击者喜欢进行 SSL 网络钓鱼

罗纳德·里根 (Ronald Reagan) 创造了谚语“信任，但要验证”，这在涉及 SSL 证书时尤其如此。 浏览器中的那个小挂锁符号带来了一种信任感，即您将受到保护，不会有人偷走您所有的钱。 破坏这种信任的正是网络罪犯。

SSL 证书应该保护所有对网络犯罪分子来说都是黄金的东西，从你庆祝生日到你最后一次银行取款。 对于精通如何轻松提供虚假安全感的黑客来说，欺诈性 HTTPS 站点是获取此信息的最佳途径。 对他们来说，在通常被描述为“低风险、高回报”的攻击中，使用受信任的挂锁建立一个虚假的 HTTPS 站点相对简单。

攻击者的作案手法 通常是为相似或拼写错误