网络钓鱼的行为是什么（网络钓鱼的演变）

为了实施有效的网络攻击对策，必须掌握用于执行此类攻击的方法和策略的最新知识。本文的目的是帮助开发人员熟悉一类称为“鱼叉式网络钓鱼”和“捕鲸”的攻击。

通过了解网络钓鱼是什么，它的不同形式以及如何防止它，您将更容易保护您的数字资产免受网络上最常见的网络攻击方法之一的侵害。

在最基本的形式中，网络钓鱼是恶意第三方企图通过欺骗手段从毫无戒心的目标中获取敏感信息（用户名，密码，社会安全号码，信用卡详细信息等）。

1. 目标收到一封电子邮件，其中包含分享某些敏感信息的请求，例如银行帐号。电子邮件本身经过精心设计，看起来像是来自可靠的来源，例如您的银行。

1. 目标心甘情愿地泄露信息，此时攻击可被视为成功，或者他们执行电子邮件请求的其他操作，例如跟踪可疑链接或打开未知文件。
2. 在执行操作时，目标要么被一些恶意代码（如病毒）感染，要么被带到在后台提取其信息的网站。

网络钓鱼攻击曾经大规模地进行，攻击者同时使用相同类型的电子邮件瞄准大量人群，希望有人会采取诱饵（因此得名）。然而，一旦公众意识到网络钓鱼诈骗，反网络钓鱼措施就变得越来越普遍。尽管如此，黑客并没有放弃。因此，另外两种进化形式的网络钓鱼变得突出 - 鱼叉网络钓鱼和捕鲸。

鱼叉式网络钓鱼是指网络钓鱼攻击，可以使欺骗性电子邮件看起来更加可信，并提高其成功的可能性。为了实现这一目标，攻击者将尝试在目标上收集尽可能多的信息。通常，组织内的特定个人具有某些安全漏洞。

2016年对美国民主党全国委员会的网络攻击是一个众所周知的鱼叉式网络钓鱼案例。被称为Cozy Bear的俄罗斯黑客集体使用长矛网络钓鱼来定位与希拉里克林顿2016年总统竞选活动相关的电子邮件账户。但是还有另外一种网络钓鱼，那些使用它的人只会在大鱼身上祈祷。

捕鲸是另一种进化形式的鱼叉式网络钓鱼。它指的是针对高级管理人员和组织内其他高级人员的网络钓鱼攻击。通过使电子邮件内容具有个性化并专门针对相关目标进行定制来定义此类攻击。

2016年，美泰公司的一位财务主管参与了一起备受瞩目的捕鲸案。有问题的高管被欺骗，通过听起来合理的电子邮件请求将300万美元转移给中国的假冒供应商。那么，我们可以对这些类型的攻击做些什么呢？

网络钓鱼是社会工程的一种形式，因此，它依赖于人类行动者的颠覆才能获得成功。因此，打击网络钓鱼及其变体的最佳策略是提高组织内的安全意识。鼓励您的团队成员观看免费的安全意识视频，为他们提供安全设备，并在所有部门实施安全控制和相关技术对策。

• 浏览器警报。Chrome，Firefox或Safari等Web浏览器可以访问已知网络钓鱼网站的列表，如果用户无意中点击了指向他们的链接，他们会发出警告。
• 专门垃圾邮件过滤器。使用这些内容的电子邮件客户端可以减少对收件箱进行的网络钓鱼电子邮件的数量，或者提供邮件发送后的电子邮件去污。
• 增强登录。有些网站使用难以通过网络钓鱼网站进行复制的高级用户验证形式，从而降低了用户被欺骗网站欺骗的可能性。

网络钓鱼攻击在网络上很常见，而且每年都会越来越复杂。但是，有了正确的对策，特别是那些解决人为因素的对策，就可以保证组织的安全和受到保护。