- 网络钓鱼是一种窃取个人信息和银行信息的非常有效的欺骗技术。
- 针对电子邮件、短信、电话、社交媒体和应用程序的网络钓鱼类型有很多种。
- 认识症状并谨慎行事是避免成为受害者的关键。
网络安全是数字时代面临的最大挑战之一。我们每天浏览网页、网上购物、管理银行账户或查看电子邮件，都理所当然地认为自己的数据会受到保护。然而，网络犯罪分子从未停止过攻击，他们不断采用日益复杂的技术窃取我们的信息。其中最常见、最危险的威胁之一就是网络钓鱼。
如果你不知道如何识别网络钓鱼，很容易就会落入陷阱，你会惊讶于它的危险程度。即使你认为自己很安全，因为你不会点击可疑链接，但事实是，诈骗分子已经将他们的伎俩发挥到了极致。从带有与你银行几乎一模一样的徽标的电子邮件，到利用你的情绪煽动恐慌的信息，诱骗你泄露敏感的个人或银行信息。因此，以清晰易懂且实用的方式学习什么是网络钓鱼、它的运作方式以及如何领先于不法分子一步至关重要。
什么是网络钓鱼？为什么它是一种如此普遍的威胁？
网络钓鱼是一种数字欺骗技术，其主要目的是获取用户的机密数据。攻击者通常会冒充我们信任的公司、政府机构、银行或服务机构。他们通过电子邮件、短信、电话或虚假链接，试图诱骗我们自愿提供密码、信用卡号或在线服务登录凭证等信息。
“网络钓鱼”一词源于英语单词“fishing”（钓鱼），指的是用诱饵“捕捉”受害者，等待他们上钩。有人认为这个词源于“password harvesting fishing”（密码窃取钓鱼）的组合，但这似乎更像是后人解释，而非其真正起源。无论如何，其根源很明确：网络钓鱼旨在欺骗毫无戒心的用户，窃取其私人信息。
这种威胁在网络犯罪领域占据着举足轻重的地位，因为它效率极高，攻击者的成本却很低。只需发送成千上万封恶意电子邮件或信息，就足以诱骗少数受害者泄露宝贵数据。此外，它无需攻破技术系统，只需操纵人心，这使得它对任何用户、公司或机构都更加危险。
网络钓鱼的历史演变和起源
网络钓鱼攻击最早于 20 世纪 90 年代中期被发现，但其广泛应用却是在几年之后。 “网络钓鱼”一词最早于 1996 年出现在黑客论坛上，用来描述针对当时流行的互联网服务提供商 AOL 的账户盗窃计划。攻击者冒充 AOL 员工，发送要求核实账单的信息，从而获取受害者的账户访问权限。
自那时起，网络钓鱼在技术、覆盖范围和复杂程度上都发生了显著变化。如今，犯罪分子采用多种攻击手段，从精心制作的电子邮件到短信、电话（语音钓鱼），甚至二维码（二维码钓鱼），始终利用人性的弱点作为其主要攻击手段。这种多样性使得网络钓鱼成为窃取用户和企业数据及金钱的最普遍的攻击手段。
网络钓鱼的当前影响和范围
网络钓鱼会造成巨大的经济损失，并严重损害受害者的声誉和安全。根据 IBM 的《数据泄露成本》报告，网络钓鱼是全球最常见的数据泄露途径，约占安全事件的 15%。据估计，北美公司每次数据泄露的平均损失可能超过 4,88 万美元。就个人而言，任何用户都可能失去电子邮件帐户访问权限、遭受经济损失或成为身份盗窃的受害者。
攻击者通常会将目标锁定在个人用户、大型组织和政府机构等各类受害者身上。一个备受瞩目的例子是希拉里·克林顿2016年美国总统竞选团队遭到黑客攻击，攻击者利用伪造的密码重置邮件窃取了数千封机密邮件。
网络钓鱼成功的关键在于，标准的安全技术和过滤措施，例如杀毒软件或网络控制，并非总能检测到这些欺诈信息。心理操纵是网络钓鱼的主要手段。
最常用的网络钓鱼技术和方法
网络钓鱼手段不断适应新的数字习惯，因此衍生出无数变种。其中最常见的几种包括：
- 传统网络钓鱼：冒充合法公司（银行、社交网络、在线商店）的群发电子邮件或短信，敦促用户点击链接并在虚假网站上提供个人信息。
- 语音网络钓鱼：这包括冒充受信任人员（银行、运营商等）拨打电话以获取密码、令牌或其他安全代码等机密数据。
- SmiShing利用：一种利用短信或即时通讯聊天欺骗受害者的变种。例如，它会发送警告银行账户存在可疑活动的消息，并要求受害者提供信息以“验证”身份。
- 清教徒：使用操纵的二维码重定向到虚假网站，要求提供个人数据或安装恶意应用程序。
- URL 网络钓鱼：创建看似合法但重定向到虚假网站的链接，通常会伪装 URL 以使其不可见（拼写错误、相似字符等）。
- 鱼叉式网络钓鱼：专门针对特定个人或员工的攻击，基于对受害者的先前研究，使消息个性化并提高其可信度。
- 捕鲸：针对高级官员或有权访问特权信息的人员的变体，使用更加个性化和复杂的信息。
- 商业电子邮件妥协 (BEC)：通过公司电子邮件进行攻击，欺骗员工、进行欺诈性转账或窃取关键内部数据。
- 域欺骗：操纵 DNS 系统，在用户不知情的情况下将用户重定向到虚假网站。
- 基于恶意软件的网络钓鱼：将受感染的文件附加到电子邮件或消息中，打开后会安装恶意软件。
- Tabnabbing：他们利用受害者打开多个浏览器选项卡来更改其中一个选项卡的内容并模拟需要再次登录，从而窃取输入的凭据。
- 水坑：感染公司或组织员工经常访问的网站，攻击常客并获取信息。
- 邪恶的双胞胎：创建虚假的 Wi-Fi 热点，窃取连接用户的信息，让他们以为自己处于合法网络上。
此外，近年来出现了网络钓鱼即服务 (PHaaS) 服务，这些平台允许任何网络犯罪分子，即使没有广泛的技术知识，通过支付费用即可自动发起网络钓鱼活动。
如何识别网络钓鱼邮件：迹象和示例
识别钓鱼邮件或短信并非易事，但有一些指标可以提醒我们：
- 语法和拼写错误：大公司在沟通中很少犯重大错误，但欺诈性信息往往充满明显的缺陷。
- 徽标和视觉效果质量差：很多时候，图像都是像素化的，或者不符合原始设计的比例。
- 可疑链接如果您将鼠标悬停在链接上，而其显示的 URL 与实际实体不匹配，则很可能是网络钓鱼。
- 紧急或危言耸听的请求：强调需要您迅速采取行动的紧急信息，威胁冻结账户、造成财务损失、引发法律问题等。
- 敏感个人信息请求如果有人要求您提供密码、卡号或安全问题等信息，请立即提高警惕。
典型的例子包括虚假的银行账户暂停通知、所谓的退税、未完成的购买或交易的确认，以及声称来自公司高管或员工的消息。
网络钓鱼的主要目的和后果
网络钓鱼的主要目的是窃取私人信息用于欺诈活动。这可以转化为：
- 盗窃金钱 通过欺诈性银行转账或未经授权的购买。
- 欺骗 访问其他服务、实施犯罪或在黑市上出售被盗数据。
- 敲诈 如果获取敏感数据，则通过威胁或勒索的方式。
- 个人和企业声誉受损、信心丧失以及法律或税务问题。
在商业世界中，网络钓鱼可能导致巨大的财务损失和关键战略信息的丢失。在最坏的情况下，它甚至会危及业务连续性。
攻击技术多样化，复杂化程度不断提高
网络犯罪分子不断改进其绕过安全系统、欺骗最谨慎用户的手段。其中最先进的技术包括：
- 看似合法但目的地却是欺诈性的链接，通常嵌入看似无害的图像或文本中。
- 恶意附件 打开后，会在受害者的设备上安装恶意软件。
- 数据采集表格 在完美模仿官方页面外观的网站上。
- 逃避垃圾邮件过滤器和防病毒软件的先进技术，例如将恶意消息嵌入图像、使用密码保护附件或检测虚拟机上的扫描以隐藏攻击的真实内容。
网络钓鱼的演变速度如此之快，以至于有时一眼很难区分合法信息和虚假信息。
智能手机和社交媒体的普及为网络钓鱼开辟了新的途径。网络犯罪分子正在利用短信、即时通讯平台、恶意移动应用程序和欺骗性的社交媒体帖子来窃取信息或感染设备。
常见的例子包括看似来自银行的消息，要求您确认可疑付款、有关所谓的奖品或帐户问题的警报，或买卖应用程序、餐厅评论甚至在线游戏聊天中的诈骗链接。
这些渠道的速度和非正式性质导致许多受害者在面对看似“正常”的信息时放松警惕，从而增加了攻击的成功率。
如何保护自己免受网络钓鱼攻击：关键措施和技巧
除了常识和谨慎之外，还有一些习惯和工具可以帮助您防范网络钓鱼。为了有效保护自己，您应该：
- 始终检查消息的来源，避免点击来自未知或可疑发件人的链接或下载文件。
- 对任何强调紧急性或有明显错误的消息都要保持警惕。：正字法、视觉或链接结构。
- 切勿通过电子邮件或短信提供机密信息。合法公司绝不会通过这些方式索取这些信息。
- 使用更新的浏览器和防病毒软件 并激活所有推荐的保护措施。某些浏览器（例如 Windows 上的 Edge 或 Apple 上的 Safari）包含特定的网络钓鱼过滤器，但并非万无一失。
- 保护您的密码 使用密码管理器，并始终启用两步验证（如果可用）。
- 检查网址 在您访问的页面中，在输入任何数据之前请仔细检查地址。
如有疑问，请通过官方渠道直接联系公司或实体，不要使用可疑信息本身提供的联系信息。
如果你遭遇网络钓鱼该怎么办
如果您认为自己已成为网络钓鱼的受害者并提供了敏感信息，请迅速采取行动：
- 立即更改密码 受影响的服务，并在可能的情况下激活两步验证。
- 联系您的银行 或金融机构应报告此类事件、冻结银行卡并报告未经授权的消费。请记住，根据相关规定，如果银行及时报告此类欺诈行为，则必须承担责任。
- 使用更新的防病毒软件对您的设备进行彻底扫描 检测并消除可能的感染。
- 告知您的联系人 如果您提供了对电子邮件或社交媒体帐户的访问权限，则可防止其他人落入从您的个人资料发送的电子邮件的陷阱。
如果损失严重且您无法获得退款，请寻求法律建议以维护您的权利。
网络钓鱼与法律：西班牙及世界各地的法律状况
许多国家都将网络钓鱼视为犯罪行为，但不同司法管辖区的起诉和处罚力度有所不同。在西班牙，法律将冒充网站窃取个人数据的行为定为犯罪，可判处监禁和巨额罚款。许多其他国家（如美国、哥伦比亚、阿根廷等）已通过或正在制定专门的法律来惩罚网络钓鱼，而另一些国家则采用欺诈等传统刑事犯罪来起诉此类案件。
还有一些国际组织和工作组致力于打击网络钓鱼，例如反网络钓鱼工作组，该组织与执法部门和科技公司合作，关闭欺诈网站并警告新的威胁。
培训和意识的重要性
抵御网络钓鱼的最佳武器仍然是知识和预防。许多组织会培训员工识别诈骗手段，并模拟内部网络钓鱼活动，以测试团队的警惕性和反应能力。这些措施已被证明非常有效，因为大多数网络钓鱼攻击只有在用户放松警惕或缺乏风险意识时才会得逞。
此外，尽管技术不断进步，并融合了多种智能威胁检测解决方案（例如反钓鱼过滤器、链接分析、发件人验证等），但没有任何屏障能够百分之百抵御犯罪分子的狡猾伎俩。因此，保持警惕并及时了解最新趋势对于保护自身安全至关重要。
网络钓鱼是一种不分个人和企业的数字化威胁，它对所有设备的影响都一样。随着技术的进步，网络钓鱼也日益猖獗，它会利用任何疏忽或意识不足来窃取我们的数据、金钱或精神安全。然而，只要掌握最新的信息、遵循最佳实践并运用常识，就能最大限度地降低风险，领先于网络犯罪分子。保持警惕，仔细审查收到的信息，并记住：如有任何疑问，切勿泄露您的个人信息。保护隐私的第一步掌握在您自己手中。