本周，苏格兰皇家银行(Royal Bank of Scotland)和西敏寺国民银行(NatWest)的用户收到了大量的电子邮件，原因是严重的IT问题导致用户无法在线访问自己的账户。电子邮件为用户提供登录其帐户的能力并提供登录页面的链接。如果用户单击该链接并尝试登录，则其银行登录凭据被盗。以下是在此特定攻击中使用的电子邮件文本的示例：

———————————————————————————————————

网上银行
很抱歉，您的Natwest在线帐户的服务将暂时无法使用。
请核实您的账户信息:www.nwolb.com/update/default.aspx(假链接实际上会导航到钓鱼页面)
服务帮助台队。法律信息隐私安全2005-2012国家威斯敏斯特银行PLC

———————————————————————————————————

这只是一个攻击战略的一个例子，它已被称为网络钓鱼20多年。网络钓鱼到处都是，你每天听到它，每次连接到互联网时，你都是网络钓鱼攻击的潜在受害者。与大多数网络攻击相比，检测到并向世界宣布，网络钓鱼独自站立。当您在新闻中了解新类型的恶意软件时，几个小时后，威胁已减轻。如果宣布了新的漏洞，它立即修补。然而，随着保护网络钓鱼攻击的所有关注和广泛的传播尝试，它仍然存在并且仍然是一种威胁。真相被告知，网络钓鱼是最简单的网络攻击，同时是最危险和有效的。这是因为它攻击了地球上最脆弱和强大的计算机，人类的思想。

背景

如果你是互联网新手，网络钓鱼是一种试图获取登录凭证/信用卡号码/等的网络攻击。通常通过电子邮件或消息传递，在可信实体的幌子下询问这些信息。它通常通过电子邮件被视为来自银行或用户可能使用的其他组织的通信，要求用户确认或提供登录凭证或个人信息。这些电子邮件总是带有一个链接到用户需要进行业务的网页。这个链接几乎总是会将用户发送到一个合法网站的“假”版本，在那里他们所有的凭证将被获取并交给攻击者。

“网络钓鱼”(phishing)这个词是“钓鱼”(fishing)的一个变体，意思是攻击者“引诱”用户点击某物或提供信息。因为它被认为是一种数字攻击，所以“f”被改成了“ph”，就像“phreaking”用来指窃听电话一样。据报道，第一个网络钓鱼技术出现在1987年，“网络钓鱼”一词的首次使用是在1995年。撇开技术历史不谈，我想提一下网络钓鱼背后的基本概念可能在整个人类历史时期就已经存在了。例如，一个迷人的女人经常“引诱”一个过路人进入一个黑暗的小巷，在那里他们会被抢劫。另一个例子是冒充维修人员进入房子的窃贼。他们利用了网络钓鱼攻击使用的相同漏洞，用一些令人愉快的或官方的承诺引诱人们进入一些脆弱的状态。当时和现在唯一的区别是攻击的执行。

不同的情况

多年来，与大多数事情一样，网络钓鱼攻击已经改变，并且已经被分段为不同的变体组。但是，最终目标与所有这些目标相同。该帖子系列将多种形式的网络钓鱼攻击，包括最常见的电子邮件网络钓鱼在社交网络上看到的矛网络钓鱼和网络钓鱼。

网络钓鱼电子邮件

在本系列的开始，我们从最基本和最常见的网络钓鱼攻击类型——网络钓鱼邮件开始。网络钓鱼邮件包括向一群用户发送虚假邮件，这些邮件足够独特，可以用作“诱饵”，但也足够广泛，有可能愚弄大量的人。这些邮件历史上以账户更新通知的形式出现:

  • 银行
  • 在线拍卖网站
  • 社交网络

然而,一旦用户点击链接包含在电子邮件广告直接链接到一个“账户登录”或“账户更新”形式,它们指向页面看起来相同,你通常会看到如果你认为组织的网站上。在现实中，页面是通过一个独立的web服务器托管的，插入到表单中的信息将被发送到攻击者而不是实际的组织。

银行网络钓鱼

我们的研究人员最近发现的一个网络钓鱼方案涉及试图窃取乐购网上银行用户的登录信息。用户会收到一封来自假冒电子邮件地址的电子邮件，指示他们通过点击其中的链接来更新他们的银行资料。这个链接会把他们送到乐购的登录页面，在那里他们可以输入自己的信息。这些信息将被发送到垃圾邮件发送者的电子邮件地址，而不是Tesco认证服务器。

以下是一些假的乐购钓鱼页面和真乐购登录页面的截图:

安全提示:确定一个网站是否合法的一种方法是检查浏览器地址栏旁边的区域，如果你看到绿色或锁或类似的东西;将鼠标悬停在该页面上，浏览器将告诉您该页面是否经过验证。但是，这是可以伪造的，因此建议使用本系列中讨论的其他方法来保护自己。

eBay钓鱼

其中一个最常见的网络钓鱼目标是eBay的用户，它构成了大部分人口。它涉及发送类似于Tesco示例中讨论的电子邮件，并试图检索eBay帐户的用户登录凭据。

下面是合法的eBay登录页面和从PhishTank.com获得的钓鱼页面的对比

你如何保护自己?

只要你在查看电子邮件、阅读Facebook帖子或玩你最喜欢的在线游戏时牢记计算机安全措施，钓鱼攻击就可能失败。以下是一些确保你的信息安全的最重要的策略:

  • 不要从您不熟悉的发件人打开电子邮件。
  • 不要点击邮件里的链接，除非你知道它的地址。
  • 要将这种保护，如果您从源中获取电子邮件，则不确定，通过在浏览器中输入合法的网站地址，通过将合法的网站地址进行手动导航到提供的链接。
  • 留意网站的数字证书
  • 如果要求您提供敏感信息，请务必检查并确保页面的URL以“HTTPS”而不是“HTTP”开始。
  • 这不仅仅是为了保护自己反对网络钓鱼攻击，而且很重要，而且，“HTTP”可以被黑客观看网络连接拦截。
  • 如果你怀疑一封电子邮件的合法性，那就把其中的一些文本或名称输入到你的搜索引擎中，看看是否有任何已知的网络钓鱼攻击使用了相同的方法。
  • 获取“密码管理器”工具，该工具可替你自动填写登入资料。若你浏览的网页是你以前曾浏览过的网页，则须填写该栏位。如果不是，你可能是在钓鱼页面。

结论

本系列的这一部分只讨论了经典的网络钓鱼方法，以及您最有可能经常看到的方法。在接下来的几周里，我将讨论更危险的不同形式的网络钓鱼攻击。要始终记住的关键是，虽然整体上非常危险和有效，但你可以通过自己的方式击败个别的网络钓鱼攻击，而无需在硬件或软件解决方案上花费任何金钱，只要保持警惕和保持警惕。

下周:网络钓鱼和社交网络钓鱼