經銷商專區｜登入
〔最新消息〕2020-12-18
真正有效的釣魚技巧--以及如何避免它們的發生
像我們不那麼合法的同行一樣，我們整天使用社交工程技術來欺騙人們打開惡意郵件，並點擊他們應該離開的連結。
瞭解攻擊者的方法有助於你在釣魚郵件進入你的收件箱時發現它。
在編寫和跟蹤了數百封類比釣魚郵件的性能後，我們想分享我們的方法，以便您可以快速提高紅色標誌。
一般來說，網路釣魚者在製作令人信服的網路釣魚郵件時，主要會經歷四個步驟，瞭解這些步驟有助於您發現並阻止他們。
第1步：選擇你的目標
不同的人喜歡不同的伎倆，所以您對目標的資訊掌握得越多，就越容易製作出令人信服的釣魚誘餌。
受眾可能是廣泛的，例如某家銀行的使用者或需要報稅的人，也可能是非常具體的--例如一個組織內的特定角色，甚至是特定的個人。
無論哪種方式，我們--就像我們的對手一樣--每次攻擊都會有一個受眾。
第二步：選擇情緒觸發器（選擇你的誘餌）
攻擊者利用我們的情緒來讓我們上當受騙。以下是網路釣魚者通常利用的三種情緒觸發器來陷害你--有時將它們結合起來使用，以提高他們的成功機會。
- ● 好奇心。人類天生具有好奇心，網路釣魚者濫用這一點，讓你想知道更多。"你想知道接下來發生了什麼嗎？" 你只需要點選連結或打開附件... ...
- ● 希望。釣魚者濫用希望的範圍可以從關於意外中獎和約會機會的一般資訊到提到工作機會、加薪等的特定電子郵件。
- ● 必要性。釣魚者經常使用網路安全引誘--假裝你遭受了安全性漏洞--讓人聽起來好像你只是必須現在就行動。
第三步：建立電子郵件（誘餌鉤）
接下來，我們需要建立郵件。像我們的犯罪同行一樣，我們通常會試圖通過使用一個或多個我們上面列出的情緒觸發器來模糊你的判斷，讓你在沒有考慮的情況下執行特定的行動。
這個動作可能簡單到點擊一個連結，也可能複雜到發起電匯。
編寫有效的釣魚郵件的一個巧妙技巧是讓您希望目標採取的行動不可避免，但不一定是明顯的。
例如，攻擊者可能會向您發送一封看似包含可點擊的減肥產品連結的電子郵件。在同一封郵件的底部，攻擊者還包括一個可點擊的 "取消訂閱 "連結。不過這裡有一個問題：點擊 "取消訂閱 "連結會讓你去到和點擊郵件中任何其他連結完全相同的地方。
這樣一來，攻擊者就給你呈現了一個選擇的假像，同時確保他們讓你點擊他們想要的連結，不管你在郵件中的什麼地方點擊。
第四步：發送郵件（投線)
最後，釣魚郵件需要傳遞給目標。攻擊者有多種方法可以做到這一點。他們可能會簡單地在Gmail等通用服務上創建一個新的電子郵件帳戶，並使用該電子郵寄地址發送消息，或者他們可以更狡猾一點。
攻擊者有時會購買一些看起來與合法功能變數名稱相似的未註冊功能變數名稱，以一種不明顯的方式稍微改變拼寫，比如將c0mpany寫成公司（字母O改成數位0），或者將vvebsite寫成網站（兩個相鄰的V用做W）。
然後，他們會使用這個看起來很像的功能變數名稱發送釣魚郵件，希望趕時間的用戶不會發現其中的細微差別。
攻擊者也有可能入侵屬於合法來源的電子郵件帳戶，並利用它來發送詐騙資訊。這通常被稱為商業電子郵件入侵（BEC），這意味著即使是同事的電子郵寄地址也有可能被攻擊者用來對您進行釣魚。
如何阻止網路釣魚攻擊
即使釣魚郵件確實到達你的收件箱，它仍然需要你採取一些特定的行動--點擊一個連結或打開一個附件--才會成功。
因此，知道該注意什麼，以及看到可疑的東西時該怎麼做，會產生巨大的影響。
以下是一些説明降低網路釣魚風險的步驟。雖然這些步驟主要是針對組織編寫的，但許多步驟也同樣適用於我們的個人生活。
- ● 通過安全暴露來進行教育 在工作場所，定期讓使用者接觸類比網路釣魚攻擊，為他們提供一個與可能是真實攻擊的現實但無害的版本進行互動的機會。這可以讓人們在風險較低的時候犯錯誤並從中學習，從而為他們在風險較高的時候處理真正的威脅做好準備。這裡的多樣性很重要，我們強烈建議資訊在細節上有所不同，如長度、主題、語氣、風格和發送時間。
- ● 分析你的安全文化。如果您在工作場所運行網路釣魚類比，請盡可能多地收集資料，包括每條消息有多少樣本被打開，收件人是否點擊了連結或打開了附件，以及他們當時使用的是哪種設備（電腦或手機）。這將為您提供關於員工整體意識的有力描述，以及您可能特別容易受到真實攻擊的地方。有了這些資料，您就可以將資源集中在支持風險最大的領域和員工上。
- ● 針對你的培訓工作。將您的培訓工作指向風險最大的部門。財務、IT和管理部門的員工，以及能夠訪問客戶記錄的員工，都是攻擊者的高價值目標。不要忽視基本的內容，比如提醒員工質疑為什麼一封郵件要求他們做某事，郵件是誰發來的等等。分心、疲憊和忙碌的員工很容易被發現。
- ● 就如何回復提供明確的指導。確保你的員工不僅知道如何報告潛在的釣魚郵件，而且當他們報告時也能及時收到回復。請記住，如果您組織中的一個人收到了釣魚郵件，那麼其他人也很有可能收到。您越早調查並採取行動越好。
- ● 促進文化變革。培養全公司範圍內的意識和支持文化是你能做的最重要的事情之一。給予員工安全失敗的機會，並為他們提供報告可疑電子郵件的明確途徑。表彰和獎勵報告釣魚郵件的人（表揚很重要），並支持不慎上當的員工。
請記住，網路釣魚培訓的目標是讓人們更加意識到潛在的威脅，並更有可能報告這些威脅。
如果你測試某人，而他們確實中了你的詭計，並且確實點擊了，要給予支持和理解，並明確你並不是為了讓人們陷入困境而試圖抓住他們。
還有一個建議
Sophos Phish Threat是我們的產品，它可以讓您輕鬆地運行類比網路釣魚程式，衡量結果，並在需要的地方進行針對性培訓。您可以免費試用30天。
原文連結
