网络钓鱼攻击的演变历史及趋势

钓鱼Phishing攻击已经有了十余年的历史,典型的手段是假冒的钓鱼邮件和钓鱼网站。尽管近年来全球各国在打击垃圾邮件和钓鱼网站方面取得了举世瞩目的骄傲成绩,然而,昆明亭长朗然科技有限公司的一项安全调查表明:不少信息安全管理负责人仍然担心公司会成为网络钓鱼分子的攻击目标。

显然,现在的网络钓鱼攻击仍然有一部分是批量化的随机诈骗,而且在防垃圾邮件系统和网站信誉系统越来越多被部署和实施的年代,钓鱼邮件对垃圾虫们的“业绩”贡献越来越小。我们可以看到的趋势是网络犯罪分子在不断变换各类诈骗手法,比如近年来,钓鱼邮件生意清淡而社交网络火热时,网络钓鱼分子便将主要精力转向社交网站渗透。使用短链接服务的社交网站深受其苦,则开始绑定网站信誉评价和网站安全扫描,并且查封不法分子使用的社交诈骗帐户。而网络犯罪分子开始抢时间,不断变换诈骗网站的域名、申请新的社交网络帐户并且争取在最短的时间内发送海量钓鱼消息。社交网络的应对之策是设定消息发送阀值,并增设验证码……

可以说,这种安全博弈战会一直进行下去,人们也不会忽略的是另一部分非批量化的随机诈骗,这些网络犯罪分子往往都是坚定的攻击者,他们会选择特定的目标,拿出所有的可能手段。特别是当他们受到反动势力或黑恶组织的资助时,力量便会倍增。安全界给这类攻击取名为APT,高级可持续性威胁,如果成为APT的目标,几无生还的可能,让伊朗核电站受到重挫的Stuxnet则是典型的APT攻击案例。

尽管提到APT,安全专家们都会面如灰土,但是并非所有公司都能成为APT攻击的目标,实际上,只是幸运儿才会被大型组织所资助的网络犯罪团伙看中。但是,正义的人们也不能心存侥幸,即使不会成为APT攻击的目标,也得防范小规模的坚定攻击分子、其它较弱的安全威胁以及它们可能使用的下三滥安全渗透攻击手段——其中包括网络钓鱼。

即使是判断率最为精确的防垃圾邮件系统也无法有效识别那些有专门针对性的精心策划和构建的钓鱼邮件,而只面向受害群体而不针对大众使用的钓鱼网站更是难以受到网站信誉系统的光临。如何有效防范这些攻击呢?唯有从它们的攻击目标入手,即强化对公司员工进行安全防范意识教育,让员工们有能力识别钓鱼邮件,有动力报告钓鱼邮件,同时可以互相分享和吸取网络钓鱼攻击防范经验和技巧。

打击猖獗的商业间谍活动

cyber-espionage
冒充潜在的客户或合作伙伴来询价、体验服务甚至测试产品是商业领域里常见的间谍手法。一些实体店面甚至贴出了“不雅”的标语,企图令那些“心怀不轨”的情报刺探人员知难而退。

而在互联网驱动下的新经济中,间谍们已经无需到实体地点,借助常用的电话、即时通讯、电子邮件和社交网络,间谍们可以用种种方式和渠道来蒙骗目标对象的信任,进而窃取相关的敏感甚至竞争信息。

虽说领先的创意和技术来源自企业家精神和长期的研究开发,但是互相借鉴行业内玩家的设计理念和创新技术,是推动良性竞争和社会进步的促进剂。不过借鉴在多数情况下都会演变成模仿和抄袭,因为这样可以用最小的花费,快速推出有市场竞争力的新产品和服务。

我们无法100%地防止竞争者模仿或抄袭,但是却能从一定程度上增加这个模仿的难度和抄袭的成本。昆明亭长朗然科技有限公司的商业安全观察员James Dong称:如果说注册专利或商标等知识产权、利用法律手段维权是一种战略手法,那提升员工信息安全保密意识,防止敏感机密数据泄露便是一种战术手法。

骗子们常常在电话中使用诈骗伎俩,间谍们是高级别的目标专一的骗子,他们使用的是“社交工程学攻击术”,社交工程学是一门综合性学科,会将各种碎片信息进行有效整理、分析并加以充分利用,它利用人性的弱点、借用社会学、人类学、心理学等多门学科中的精华,目的就是获得人们的信任,进而获得非法的利益。

而即时通讯工具让实时的网络沟通成本变得几乎为零,所以大受商业领域的欢迎,同样,对方的身份校验是个难题。除了基于社会工程学技术的诈骗之外,传输含有定制恶意代码的文件,让计算终端中招,是黑客型间谍惯用的手段。

电子邮件是传统而经典的商业沟通工具,当然商业间谍不会放弃使用它。免费的匿名的邮件地址随处便可申请到,急于获得客户的员工会放弃这个可能的销售机会么?如果商业间谍再结合使用黑客技术,内嵌一些邮件钓鱼链接或可执行附件代码,员工中招的概率便上提升几何?

论坛、博客、微信、微博等社交网络的兴盛不仅给商业间谍更多刺探情报的机会,也让其更容易画出目标人员的关系图,通过分析历史信息,也更容易分析出员工们的性格特质和喜好,以便更有针对性选择策略的下手。

如何有效防范商业间谍无孔不入的渗透活动呢?昆明亭长朗然科技有限公司James说:商业间谍的电话沟通招数和潜在客户的正常方式有些不同,我们需要做的是将这些告知我们的员工。钓鱼邮件或消息与平常的猛消息看起来无异,细细辨识则能发现端倪,我们需要的是让员工们掌握这些识别安全风险的能力。除了安全能力的提升,我们也还需要员工们树立积极正确的安全态度,这样在发现异常情况时能够及时报告,以便安全专业团队能有正确快速的响应。

我们制作了一部防止社交工程学电话攻击的互动式教程,这个教程的设计真是让人玩一次,便终生难忘。