作為對消費(fèi)者和都能造成潛在威脅的網(wǎng)絡(luò)犯罪，釣魚在過去幾年來大肆蔓延，其騙人把戲也是層出不窮。當(dāng)前低迷的經(jīng)濟(jì)形態(tài)，更是為釣魚提供了溫床，出現(xiàn)了利用新的社會工程來欺詐不知情的消費(fèi)者和企業(yè)用戶的現(xiàn)象。
一、釣魚無界限
釣魚——引誘電腦用戶提供敏感信息盜取身份和商業(yè)數(shù)據(jù)——對企業(yè)和普通消費(fèi)者都構(gòu)成極大威脅。在過去十來年，釣魚不斷滲透，在世界各地每日的釣魚攻擊大約為800萬次數(shù)。
反釣魚工作組(APWG)報道說，在2008年第二季度，光釣魚攻擊就上升了13%，超過28000次數(shù)。它還報道稱，在同樣的時期內(nèi)，被感染了電腦密碼竊取代碼、可用來惡意軟件傳播的網(wǎng)站就已經(jīng)突破了9500個——與2007年同期相比，增長了258%.圖一顯示了釣魚——魚叉式網(wǎng)路釣魚在16個月內(nèi)的增長情況。
二、提防最新釣魚陰謀*Spear phishing(魚叉式網(wǎng)路釣魚)
魚叉式網(wǎng)路釣魚 只針對特定目標(biāo)進(jìn)行攻擊，通常鎖定的對象并非一般個人，而是特定公司、組織成員，比如著名的銀行、金融公司及其高管等。
消費(fèi)者并不是魚叉式釣魚攻擊的唯一目標(biāo)。越來越多的企業(yè)員工被狡猾的犯罪分子盯上。他們的目標(biāo)是要獲取銀行信息、客戶數(shù)據(jù)和其他資料，以資助他們的網(wǎng)絡(luò)犯罪行徑。
根據(jù)VeriSign iDefense，魚叉式釣魚攻擊在2008年4月至五月期間對企業(yè)發(fā)起的攻擊，達(dá)到了前所未有的水平。這些攻擊的目標(biāo)主要是高級管理人員和公司其他重要人物。在15個月內(nèi)，受害者企業(yè)用戶數(shù)量達(dá)到了驚人的15000之多。這些受害者包括全球500強(qiáng)公司、政府機(jī)構(gòu)、金融機(jī)構(gòu)和律師事務(wù)所。
*商業(yè)服務(wù)網(wǎng)絡(luò)釣魚
除了魚叉式之外，釣魚新陰謀還包括有針對商業(yè)服務(wù)的釣魚攻擊。比如，利用Yahoo !推出的關(guān)系和的AdWords進(jìn)行釣魚。據(jù)PhishTank報告稱，AdWords用戶會受到一封電子郵件，提醒他們賬戶需要更新。之后，用戶就會被要求登陸一個假冒的AdWords界面并提供信用卡信息。由于很多中小型企業(yè)依賴在線廣告來提供網(wǎng)站流量，他們的市場管理者很容易受到釣魚者盯上。
*利用經(jīng)濟(jì)恫嚇發(fā)起釣魚攻擊
當(dāng)前低迷的經(jīng)濟(jì)形勢，為犯罪分子發(fā)起釣魚攻擊提供了便利條件。比如，利用電子郵件假扮成來自某個金融機(jī)構(gòu)需要獲取受害者銀行卡、存貸款等財務(wù)信息，以幫助處理企業(yè)破產(chǎn)或者合并、收購等事宜。大量的合并和收購信息，讓廣大消費(fèi)者感到迷茫。更糟糕的是，缺乏，更是讓欺詐者有恃無恐。
*混合式釣魚/惡意軟件威脅
為了提高成功率，一些釣魚攻擊會與惡意軟件相結(jié)合的方式進(jìn)行。例如，某個潛在的受害者收到發(fā)來釣魚電子賀卡的郵件，通過點(diǎn)擊該賀卡，用戶就會在不知情的條件下進(jìn)入一個偽造的網(wǎng)站上，并感染網(wǎng)站上自動下載過來的程序。另外，受害者可能會看到一條消息，在查看賀卡的之前需要下載更新軟件(比如Flash)。當(dāng)用戶該軟件的時候，其實它就是一個鍵盤記錄軟件。
基于釣魚的鍵盤記錄軟件，會跟蹤用戶的每一個上網(wǎng)記錄，并監(jiān)視其中有用的信息，比如在線購物、銀行卡賬戶和密碼等敏感信息。
另外一種會讓釣魚攻擊者捕獲敏感信息的木馬，則是重定向。重定向會讓用戶進(jìn)入不是其本意的網(wǎng)站。目前，基于釣魚的鍵盤記錄軟件和重定向正大肆流行。
*中間人滲透攻擊
2008年，出現(xiàn)了一種新型的可以讓犯罪分子欺騙加密會話的惡意軟件。這種標(biāo)準(zhǔn)的中間人攻擊的變種，可以讓罪犯訪問網(wǎng)絡(luò)傳輸上不受保護(hù)的密碼和其他敏感信息。
*短信和網(wǎng)絡(luò)釣魚詐騙
釣魚攻擊者可能會使用短信來取代電子郵件，以冒充某個金融機(jī)構(gòu)并獲得機(jī)密賬戶信息。被稱為smishing(通過短消息的網(wǎng)絡(luò)釣魚攻擊)，屬于一種典型的手機(jī)詐騙，它會通知用戶銀行賬戶失密或者銀行卡被停用，并要求撥打某個電話來恢復(fù)銀行服務(wù)。手機(jī)用戶一旦登陸網(wǎng)站或者通過自動電話系統(tǒng)，就會被騙取透露銀行財務(wù)信息和PIN號碼。
三、釣魚對業(yè)務(wù)的影響
雖然金融行業(yè)一直以來都是釣魚攻擊者的主要目標(biāo)，但是它并不是遭受釣魚攻擊的唯一目標(biāo)。在線支付、捐贈網(wǎng)站、零售和也經(jīng)常成為釣魚者的獵物。反釣魚工作組(APWG)報告說，針對手機(jī)提供商和制造商的釣魚攻擊也呈極具增長的態(tài)勢。換句話說，沒有哪個行業(yè)或者領(lǐng)域能夠逃離危險不受攻擊。
冒充某個公司的官方網(wǎng)站進(jìn)行釣魚攻擊，會嚴(yán)重?fù)p害公司的品牌形象，并挫傷用戶的信任，使得用戶不敢輕易登陸官方網(wǎng)站。除此之外，公司還會受到如下影響：
*受客戶信任影響，在線收入和點(diǎn)擊率都將下降
*客戶數(shù)據(jù)一旦被泄露，公司要承擔(dān)賠償
釣魚攻擊還會導(dǎo)致用戶不敢輕易進(jìn)行在線交易，尤其是對他們不信任的人而言。
四、防范釣魚攻擊
雖然沒有一勞永逸的方法來對付釣魚攻擊，但是，還是可以利用一些技術(shù)來保護(hù)你的用戶和你的利益。當(dāng)前的釣魚技術(shù)，主要還是依賴于誘使用戶登陸偽造網(wǎng)站獲取用戶信息。諸如SSL、EVSSL等技術(shù)在防范釣魚和其他形式的網(wǎng)絡(luò)犯罪方面，還是起著至關(guān)重要的作用。
實現(xiàn)安全的最佳做法就是，開啟最高級別的加密和認(rèn)證措施。SSL，Web安全的世界級標(biāo)準(zhǔn)，它可以對利用HTTS協(xié)議傳輸信息進(jìn)行加密保護(hù)。當(dāng)前的絕大部分、Web、Internet應(yīng)用程序和硬件都內(nèi)置有對SSL的支持。
為了幫助有效防止釣魚攻擊，并增強(qiáng)用戶信任，公司也需要一種可以向用戶證明其為合法網(wǎng)站的方法。EV SSL證書可以幫助企業(yè)實現(xiàn)這一目的。它是全球領(lǐng)先的數(shù)字證書頒發(fā)機(jī)構(gòu)和主流的瀏覽器開發(fā)商共同制定的一個新的SSL證書嚴(yán)格身份驗證標(biāo)準(zhǔn)，讓新一代安全瀏覽器(如：IE7)能識別出 EV SSL 而在地址欄顯示為綠色，讓普通消費(fèi)者能確信正在訪問的網(wǎng)站就是通過權(quán)威第三方嚴(yán)格身份驗證的現(xiàn)實世界的真實實體，從而增強(qiáng)消費(fèi)者信心，促成更多在線交易。
雖然網(wǎng)絡(luò)犯罪分子正變得越來越會模仿合法網(wǎng)站，但由于他們沒有EV SSL證書，因此在地址欄上 并不能顯示出他們的合法信息。
除了利用EV SSL證書技術(shù)外，企業(yè)還應(yīng)該對員工和用戶就網(wǎng)絡(luò)行為和如何避免欺詐進(jìn)行宣傳和教育。教導(dǎo)他們?nèi)绾巫R別仿冒網(wǎng)站，如：拼寫錯誤、強(qiáng)烈要求用戶提供個人信息、偽造或者未知鏈接。
還要教育你的客戶和員工，在提供任何個人信息或者其他敏感信息之前如何識別一個有效的、安全網(wǎng)站：
*查看綠色地址欄
*確保URL為HTTPS
*查看安全數(shù)字證書
為了消除釣魚攻擊帶來的恐懼，教導(dǎo)員工和客戶是樹立必要的信任的關(guān)鍵組成部分。通過幫助客戶理解如何確認(rèn)他們是否登陸合法網(wǎng)站，企業(yè)可以獲得更多的在線交易和用戶訪問，并擴(kuò)大知名度和整體銷量。
總結(jié)
網(wǎng)絡(luò)釣魚會繼續(xù)演變成新的花樣，它們試圖利用人們固有的同情心、信任或者好奇心，來開展一輪又一輪的釣魚活動。因此，保護(hù)企業(yè)品牌和客戶需要企業(yè)付出不懈的努力。利用最高級別的安全防范措施和EV SSL證書教導(dǎo)和保護(hù)你的客戶，可以讓客戶對企業(yè)的在線服務(wù)充滿信心。