董事长又收到钓鱼邮件了

上周董事长收到一封钓鱼邮件，转技术部处理，全面排查网络安全风险，要求制定加固方案，保障公司的网络安全。 接到通知后，协同安全厂商完善了邮件网关的防御策略，全辖发送了钓鱼邮件防范手册，今天董事长又收到钓鱼邮件了，该怎么办？

钓鱼邮件防范措施

上周发送全辖的钓鱼邮件防范措施
一、什么是钓鱼邮件
“钓鱼邮件”是指攻击者伪装成同事、合作伙伴、朋友、家人等用户信任的人，通过发送电子邮件的方式，诱使用户回复邮件、点击嵌入邮件正文的恶意链接或者打开邮件附件以植入木马或间谍程序，进而窃取用户敏感数据、个人银行账户、邮箱账户和密码等信息，或者在设备上执行恶意代码实施进一步的网络攻击活动。
二、如何识别钓鱼邮件
（一）看发件人地址
如果是公司内部邮件，正常情况下会按中文形式显示发件人及其机构部门；如果是公务邮件，发件人多数会使用工作邮箱。对于这部分邮件，可以从邮件地址中分离出单位官网地址，比如公司邮件地址中包含“@公司域名”。
而业务邮件大多数会使用个人邮箱，这时要认真检查该帐号是否为该客户的QQ号、手机号等。
如果发现对方使用的是个人邮箱帐号或者邮箱账号拼写很奇怪，那么就需要提高警惕。
（二）看收件人地址
如果发现所接收的邮件被群发给公司内大量人员，而这些人员并不是工作常用联系人或同一工作组织内人员，那么就需要警惕，有可能是钓鱼邮件。
（三）看发件的时间
公务邮件通常接收邮件的时间在工作时间内，如果收到邮件是非工作时间，需要提高警惕。比如，凌晨3点钟。
（四）看邮件标题
大量钓鱼邮件主题关键字涉及“系统管理员”、“通知”、“订单”、“采购单”、“发票”、“会议日程”、“参会名单”、“历届会议回顾”等，收到此类关键词的邮件，需提高警惕。
（五）看正文措辞
对使用“亲爱的用户”、“亲爱的同事”等一些泛化问候的邮件应保持警惕。同时也要对任何制造紧急气氛的邮件提高警惕，如要求“请务必今日下班前完成”，这是让人慌忙中犯错的手段之一。
（六）看正文目的
当心对方索要登录密码，一般正规的发件人所发送的邮件是不会索要收件人的邮箱登录账号和密码的，所以在收到邮件后要留意此类要求避免上当。
（七）看正文内容
当心邮件内容中需要点击的链接地址，若包含“&redirect”字段，很可能就是钓鱼链接；当心垃圾邮件的“退订”功能，有些垃圾邮件正文中的“退订”按钮可能是虚假的。点击之后可能会收到更多的垃圾邮件，或者被植入恶意代码。可以直接将发件人拉进黑名单，拒收后续邮件。
（八）看附件内容
当心邮件中的附件信息，不要随便点击下载。诸如word、pdf、excel、PPT、rar等文件都可能植入木马或间谍程序，尤其是附件中直接带有后缀为.exe、.bat的可执行文件，千万不要点击。
三、钓鱼邮件防范措施
（一）安装杀毒软件
安装杀毒软件并定期更新病毒库，开启杀毒软件对邮件附件的扫描功能。同时定期下载和安装系统和软件的更新。
（二）不泄露密码
要做到不向任何人主动或轻易地泄露邮箱的密码信息。不要将登录口令贴在办公桌或者易于被发现的记事本上，不要通过邮件转告帐户密码。如果这样干过，立即更改密码。
（三）公私邮箱要分离
不用工作邮箱注册公共网站的服务，也不要用工作邮箱发送私人邮件。
（四）重要文件要做好防护
（1）及时清空收件箱、发件箱和垃圾箱内不再使用的重要邮件；
（2）备份重要文件，防止被攻击后文件丢失；
（3）重要邮件或附件应加密发送，且正文中不能附带解密密码。
（五）不要轻易点开陌生邮件中的链接
正文中如果有链接地址，切忌直接打开，大量的钓鱼邮件使用短链接或带链接的文字来迷惑用户。如果接到的邮件是邮箱升级、邮箱停用等办公信息通知类邮件，在点开链接时，还应认真比对链接中的网址是否为单位网址，如果不是，则可能为钓鱼邮件。
（六）不要放松对“熟人”邮件的警惕
攻击者常常会利用攻陷的组织内成员邮箱发送钓鱼邮件，如果收到了来自信任的朋友或者同事的邮件，你对邮件内容表示怀疑，可直接拨打电话向其核实。
（七）不要使用公共场所的网络设备执行敏感操作
不要使用公共场所的电脑登入电子信箱、使用即时通讯软件、网上银行或进行其它涉及敏感资料的操作。在无法确定其安全性的前提下，请不要在连接Wi-Fi后进行登录和收发邮件，慎防免费无线网络因疏于管理被别有用心人士使用数据截留监侦手段获取用户信息。
（八）不要将敏感信息发布到互联网上
用户发布到互联网上的信息和数据会被攻击者收集。攻击者可以通过分析这些信息和数据，有针对性的向用户发送钓鱼邮件。
四、善后处理
当不小心点开钓鱼邮件，造成感染后，不要惊慌，参照以下几种应急处理，减小钓鱼攻击产生的危害。
（一）及时报告
及时报给邮箱管理员，请专业的安全人员进一步处理和开展后续系统清理以及恢复工作。
（二）修改登录密码
邮箱的登录密码可能已经泄露，应及时修改密码，防止攻击者获取邮箱中的邮件、联系人、公司网络等敏感信息，遏制黑客进一步的攻击渗透。
（三）全盘杀毒
钓鱼邮件中的链接或者附件等可能带有病毒、木马或勒索程序。发现异常应及时做全盘扫描杀毒，最好使用多个杀毒软件交叉杀毒。
（四）阻断网络
切断受感染设备的网络连接（拔掉网线或者禁用网络），避免网络内其他设备被感染渗透，使安全事件范围得到控制，防止敏感文件被窃取，降低安全事件带来的损失。

关于网络钓鱼攻击的九个趋势

以下内容编译自CyberSecurity Magazine杂志2024年初发表的原题为“Phishing in 2024: Here’s What to Expect”的文章

网络钓鱼(Phishing)是网络犯罪分子仿冒合法身份获得敏感信息的一种欺骗行为。30多年来钓鱼攻击招数与时俱进，从简单的通过电子邮件骗取账号密码，发展到与人工智能(AI)、深度伪造(DeepFake)相结合，通过社交媒体、移动设备、物联网设备等渠道发起更为复杂的钓鱼攻击，成为数字世界的最大威胁之一。

知己知彼，百战不殆！了解网络钓鱼攻击最新发展趋势至关重要，企业和个人保持领先于威胁一步，才能更好地维护网络安全，保护企业和个人免受网络钓鱼攻击。

1.人工智能+网络钓鱼

人工智能技术正在彻底改变网络钓鱼攻防的格局，网络犯罪分子利用大语言模型(LLM)能够分析来自开源情报(OSINT)的海量数据（包括社交媒体和互联网公开的信息），从而深入了解攻击对象的个人画像，沟通风格和兴趣偏好，生成高度个性化、更有说服力且逼真的钓鱼邮件，通常会绕过传统的安全措施，使得受害者更加难以识别。另外，各种 邪恶版ChatGPT大大降低了网络犯罪分子的实施门槛，能够协助网络犯罪分子批量生成钓鱼邮件，开展大规模的网络钓鱼活动，加速了威胁环境的复杂性。

2.深度伪造+网络钓鱼

网络钓鱼攻击者越来越多地在复杂的网络钓鱼骗局中利用深度伪造技术，他们制造令人信服的假音频和视频来冒充受信任的身份。DeepFakes技术的平民化（一般变脸变声APP大多用于娱乐）使得区分真假音视频变得更具挑战性，提高了犯罪分子实施语音钓鱼或视频钓鱼骗局的成功率。受害者一旦上钩，往往会造成重大的经济损失、声誉损害，以会造成公众对于数字通信的信任侵蚀。 DeepFakes加持的钓鱼欺诈威胁越来越普遍，66%的受访者表示曾遭遇过深度伪造攻击。

3.勒索软件+网络钓鱼

事实上，钓鱼邮件越来越成为勒索软件入侵和传播的主要载体 ，利用人性弱点通过欺骗性电子邮件诱骗个人下载恶意内容或点击恶意链接，勒索病毒将自动加载、安装和运行，然后加密并窃取敏感数据，比利用系统漏洞更容易投放和成功。钓鱼攻击之所以防不胜防，就是在于 每个人在特定情况下都有可能发生“人为错误”。另外， 大脑中固有的“认识偏差”也会影响人们的安全决策 。例如，实际上，每个人或多或少都会有一点乐观偏见，对自己有利的盲目乐观和自信，认为可以100%识别钓鱼邮件。对自己不利的，则认为不可能发生在自己身上。或怀有“鸵鸟心态”，以为自己眼睛看不见就是安全的。

政府背景+网络钓鱼

国家支持的网络钓鱼间谍活动和网络战的兴起，标志着全球网络威胁的显著升级 ，政府或其代理人发起精心策划的鱼叉式钓鱼攻击，以获取敏感数据或破坏基础设施。其目标范围广泛，可能针对国防部门、政府或非政府组织、军事目标、高端智库、高校/学术界/科研人员等.

国际社会正在加紧努力，包括加强跨境情报共享、制定全球网络安全规范和加强国防。然而，网络空间的匿名性和无国界性继续对有效打击这些政府背景支持的网络攻击活动和维护全球网络安全构成重大挑战。

5.瞄准社交媒体

社交媒体（微信、微博等）是网络钓鱼的温床 ，通过社交媒体平台的网络钓鱼攻击的增加是由于庞大的、数以亿计的用户基础和用户对于社交平台的信任。网络犯罪分子利用这种天然的信任关系，使用诸如创建虚假个人资料、直接发送带有恶意链接的信息、图片、文档或压缩包，或发布看似合法的欺骗性广告、小测验、虚假红包等策略。

这些方法特别有效，因为是社交媒体好友发过来的信息，又无缝地融合到聊天对话交流中，使用户很难识别它们的恶意意图。考虑到95%的网络安全漏洞始于某人无意中点击了恶意链接或下载了恶意附件，这种微妙之处令人担忧，突显了基于社交媒体的网络钓鱼攻击的重大威胁，以及提高用户警惕性的必要性。

6.瞄准云服务

随着云服务的普及，网络钓鱼攻击技术也趋于云化。网络钓鱼攻击越来越多地针对云存储和云服务，利用它们在个人和企业数据管理中的核心作用。网络犯罪分子伪造欺骗性电子邮件和信息，冒充知名云服务提供商的身份发起钓鱼攻击，诱使用户在欺诈网站上输入登录凭据，从而使攻击者能够顺利访问云中的敏感数据。或通过云存储服务托管恶意文件，并通过链接分享功能进行传播。由于云服务的高信誉度，传统的安全技术防御很难精准拦截。

7.瞄准移动设备

针对移动用户的网络钓鱼攻击的增长趋势反映了智能手机和平板电脑在各种活动中的使用越来越多。这类攻击最初集中在基于短信的钓鱼方案上，现在已经发展到利用即时通讯应用程序、社交媒体和假移动应用程序。

这尤其令人担忧，因为据预测，**截止2023年，全球只有约13%的人能够有效保护好他们的数据。**移动设备的便利性和在日常生活中不可或缺的作用，再加上移动办公/BYOD办公的流行，个人设备普遍缺乏强大的安全防护措施，且以往学到的PC端安全知识在移动端并不完全适用，这些因素叠加在一起，使得 用户极易受到针对移动设备的网络钓鱼攻击影响。

8.瞄准物联网

物联网设备通常先天性缺乏安全功能属性（例如默认密码、无防火墙），这是一个重大漏洞，网络钓鱼攻击者可以利用这些漏洞未经授权访问个人和家庭网络。这些IoT设备包括：路由器、打印机、摄像头、可穿戴设备、和家用物联网用品等可能成为网络犯罪分子的入口。

一旦侵入，攻击者就可以利用这些设备监控个人活动、收集敏感数据或作为渗透更广泛家庭网络的网关，对个人隐私和安全构成严重威胁。物联网设备的互联特性放大了风险，因为破坏一个IoT设备可能会导致多米诺骨牌效应，危及整个家庭网络的安全。而个人IoT设备连接到公司办公网络，还可能连累公司的整体网络安全。

9.瞄准中小企业

网络钓鱼者越来越多地瞄准小型企业，因为它们的网络安全预算投入通常十分有限，安全防护脆弱。例如：大部分员工对于网络威胁的认识不足，缺乏安全意识常识，对关键信息系统和敏感信息防护不足，网络安全相关制度缺失、安全专业人员、安全培训缺失、管理层支持缺失 等等，因此中小企业面对各种网络威胁的抵抗力更弱，包括网络钓鱼，另据报告显示，8成勒索攻击针对的是中小企业 。另一个原因是，很多中小企业存在一种虚假的安全感-“公司规模小，黑客不会费心思攻击小公司的”。实际上，中小企业遭遇钓鱼攻击的频次和损失也不小。一旦中小企业遭遇钓鱼，导致核心数据外泄，或诱骗财务转账，或感染勒索病毒重要数据无法恢复，这种损失往往是灭顶之灾，很多中小企业因为遭遇网络攻击而一蹶不振，关门大吉。

多管齐下，加强数字安全防御

随着复杂的网络钓鱼攻击和国家背景支持的网络攻击活动的迅猛发展，企业和个人都需要不断更新网络安全防护策略，适应新兴的安全威胁， 从技术防御、流程完善和人员培训方面多管齐下，打造更具弹性的网络安全文化。