近日，網絡安全公司Vade發布的《2021年網絡釣魚報告》中顯示，社交媒體已經成為網絡釣魚攻擊的重災區。

網絡釣魚者專注于各種社交媒體平台，是因為社交媒體具有廣泛的受衆屬性，易遭到高效魚叉式的網絡釣魚攻擊。

在網絡釣魚攻擊事件中，被冒充最多的二十個品牌裡，Facebook排在第一位，而微軟作為我們使用頻繁的應用軟件，獲得了“可觀”的第二名。

2021年網絡釣魚行為者模仿最多的20個品牌

（來源：Vade）

Vade的分析報告中指出，随着一周的進展，冒充微軟的電子郵件推送數量逐漸增加，并在周五達到頂峰，而周末數量卻驟減。

一周電子郵件發送數量

（來源：Vade）

很明顯，釣魚者掌握了大多數企業用戶工作日的工作狀态，試圖利用用戶累積的疲勞感來誘導其點擊網絡釣魚鍊接。

由于釣魚者僞造的電子郵件十分真實，甚至包括一些美國大學的學生和教授都紛紛中招。包括中央密蘇裡大學、範德比爾特大學、阿肯色州立大學、普渡大學在内的多所美國高校受到了攻擊。

疫情期間，釣魚者利用人們的焦慮情緒，僞裝成有關最新奧密克戎變體、COVID-19 測試結果等信息，誘導用戶點擊郵件中的HTM附件，并将他們引導至由釣魚者精心準備的虛假學校網站登錄頁面。

帶有HTM 附件的網絡釣魚電子郵件

（來源：Proofpoint）

根據公布的案例來看，這些虛假頁面堪稱真實頁面的克隆版，不僅外觀幾乎一樣，URL也使用類似的命名模式，比如采用教育機構單位使用的.edu後綴。

令人無奈的是，在一系列電子郵件攻擊事件中，HTM包含指向能夠竊取憑證站點的網站鍊接。有些網站是合法的WordPress站點，隻是被釣魚者入侵并利用，因此用戶登陸時，安全軟件或電子郵件保護工具不會發出警報。

為了繞過登錄頁面上的 MFA（多因素身份驗證）保護，釣魚者還創建了欺騙雙重MFA頁面的虛假頁面，以騙取發送給受害者的手機驗證碼。

虛假郵件鍊接跳轉的登錄頁面

（來源：Proofpoint）

這意味着，無孔不入的電子郵件将“突破”層層關卡到達目标用戶。

尤其值得注意的是，網絡釣魚者利用新冠病毒帶來的各種就業壓力，引誘求職者點擊釣魚郵件中的虛假求職邀約。根據美國聯邦調查局的報告，此類釣魚攻擊讓受騙者在 2020 年總共損失了至少 6200 萬美元。

網絡釣魚者慣用的4種詐騙手段

1

包含日常活動

虛假電子郵件的标題和内容都是為了讓目标用戶産生一種信任感和緊迫感。信任感是因為郵件包含了日常接觸企業或者人員的内容，緊迫感則來源于其包含了抵押貸款和其他家庭相關活動的信息。

2

冒充知名品牌

虛假電子郵件的登錄頁面習慣于冒充谷歌或者微軟等知名品牌的登錄頁面，甚至充斥着各種電子郵件提供商的品牌标識，讓目标用戶防不勝防。

3

複制工作流程

電子郵件的攻擊程序也在模拟企業用戶的已經熟知的工作流程。例如在線共享文件時收到的電子郵件通知，當人們看到之前浏覽過的電子郵件時，會習慣性快速點開查看。

4

使用被盜的郵件地址

釣魚者盜用真實的電子郵件賬戶作為詐騙渠道。例如盜用官方部門人員的郵件賬戶，将其作為郵件發送地址，讓目标用戶和防護軟件無法識别異常。

個人日常查看郵件時，需要仔細辨别發件人的名稱和地址，不随意點擊來曆不明的鍊接。當然，僅靠人工識别判斷郵箱真僞是遠遠不夠的，必要時需要采取技術手段進行防護。尤其對于保密信息，企業可以通過加密技術給企業郵件裝一把安全鎖，從源頭上防範郵件詐騙，提高郵件的安全性。

更多精彩资讯请关注tft每日頭條，我们将持续为您更新最新资讯!