网络钓鱼是一种网络攻击，它通过伪装成合法网站或电子邮件来收集敏感信息，例如登录凭据、信用卡号、银行帐号或其他财务信息。社会安全号码、电话号码和社交媒体帐户信息等个人信息也是网络犯罪分子进行身份盗窃的常见目标。网络钓鱼诈骗通过使用社会工程来制造紧迫感来欺骗受害者。一旦受害者打开网络钓鱼电子邮件或短信并单击恶意链接，他们就会被带到与合法网站匹配的虚假网站。

常见的网络钓鱼尝试克隆金融机构、同事的电子邮件、拍卖网站、社交媒体网站和在线支付处理器。尽管网络钓鱼是最古老的网络犯罪之一，但对许多组织来说，网络钓鱼仍然是一个巨大的网络威胁。这是由于其广泛使用和复杂的网络钓鱼活动。网络钓鱼者越来越多地收集有关其目标的信息，以提高其网络钓鱼消息的有效性。安全意识培训是将网络钓鱼的网络安全风险降至最低的好方法。网络钓鱼电子邮件还可能包含受感染的附件，以安装勒索软件等恶意软件或未经授权访问敏感数据，从而导致数据泄露。

重要的是要记住，一些最大的数据泄露来自组织外部。如果您的第三方供应商可以访问敏感数据，那么让他们对员工进行网络钓鱼风险教育同样重要。与网络钓鱼相关的第三方风险、第四方风险和供应商风险必须是您的第三方风险管理框架和供应商风险管理计划的一部分。

网络钓鱼的目的是什么？

通常，网络钓鱼至少提供以下服务之一：

有哪些不同类型的网络钓鱼攻击？

虽然方法不同，但所有网络钓鱼都依赖于某种形式的伪装。通常，使用的网络钓鱼攻击类型取决于网络钓鱼者如何选择目标。发送给数百万潜在目标的网络钓鱼尝试将针对Microsoft、PayPal或Facebook等流行品牌进行定制。相比之下，鱼叉式网络钓鱼攻击将高度针对特定组织或个人。

1.什么是鱼叉式网络钓鱼？

鱼叉式网络钓鱼是针对特定个人或组织的电子邮件或电子通信。尽管鱼叉式网络钓鱼通常用于获取敏感数据，但网络犯罪分子也可能使用它在目标计算机上安装恶意软件。虽然鱼叉式网络钓鱼比垃圾邮件网络钓鱼花费更多的时间和精力，但由于网络钓鱼邮件中存在个人信息，它大大增加了成功的可能性。

2.什么是捕鲸？

捕鲸是一种针对高级管理人员或知名目标的鱼叉式网络钓鱼形式。鲸鱼猎人的网络钓鱼邮件针对个人及其在组织中的角色。例如，捕鲸攻击可能以CEO发出虚假请求的形式出现，要求支付AWS账单并通过电子邮件发送给CTO。捕鲸的共同目标是公司董事会成员。这是因为董事会成员拥有很大的权力，但不是全职员工。他们也可能使用个人电子邮件而不是公司帐户，后者可能没有反网络钓鱼功能。

3.什么是克隆网络钓鱼？

4.什么是Vishing？

网络钓鱼或语音网络钓鱼是通过电话进行的，通常针对Skype等IP语音(VoIP)服务的用户。技术的改进使诈骗者更容易欺骗来电显示，因此它可以从本地区号甚至是受信任的组织中出现。Vishing与语音深度伪造相结合是一个巨大的网络安全风险。据《华尔街日报》报道，一家英国能源公司的首席执行官向攻击者的银行账户发送了243,000美元，并认为攻击者正在与老板通电话。

5.什么是Smishing？

Smishing或SMS网络钓鱼是通过SMS进行的网络钓鱼。就像电子邮件网络钓鱼一样，smishing消息通常包括威胁或诱使单击链接或拨打电话以产生紧迫感并提高成功的可能性。

6.什么是链接操作？

链接操纵是一种网络钓鱼形式，它试图使恶意链接看起来像是属于欺骗组织的。网络钓鱼者经常使用拼写错误的URL和子域。链接操作的另一种形式是更改为链接显示的文本，以提示其来自可靠的目的地，同时指向网络钓鱼站点。大多数桌面客户端允许您通过将鼠标悬停在链接上来预览链接。攻击者可以覆盖此功能，并且许多智能手机没有预览功能。国际化域名(IDN)欺骗是链接操纵的另一种形式。它涉及使用几乎相同的字符来模仿合法站点的URL。SSL证书并不能解决这个问题，因为网络钓鱼者通常可以购买有效证书并随后更改内容以欺骗正版网站。

7.什么是过滤规避？

过滤器规避是网络钓鱼的一种形式，其中网络钓鱼者使用图像来避免反网络钓鱼过滤器。过滤器规避背后的想法是电子邮件客户端很难阅读图像并且非常擅长阅读纯文本。随着电子邮件客户端变得越来越复杂并开发出在图像中使用光学字符识别(OCR)的反网络钓鱼过滤器，这种风险变得越来越小。

8.什么是网站伪造？

网站伪造使用JavaScript来更改地址栏，因此很难知道您是否在网络钓鱼网站上。攻击者可能会在地址栏上放置合法URL的图像，或者关闭原始栏并打开一个具有合法URL的新地址栏，而不会重定向到虚假站点。受信任网站中的安全漏洞可能导致跨站点脚本(XSS)攻击。这是特别危险的，因为用户可以导航到正确的站点并且仍然处于危险之中。

9.什么是隐蔽重定向？

隐蔽重定向是一种网络钓鱼形式，它使链接看起来合法，但会将受害者重定向到网络钓鱼者的站点。隐蔽重定向很难发现，因为受害者可能正在浏览合法网站并提供来自浏览器扩展或其他网络攻击的恶意登录弹出窗口。例如，您可能单击以Facebook开头的恶意链接。弹出窗口询问您是否要授权该应用程序。如果您选择授权该应用程序，则会向攻击者发送一个令牌，并且您的个人身份信息(PII)可能会被泄露。这可能包括电子邮件地址、出生日期、联系方式和工作经历。它甚至可能使攻击者控制您的帐户。即使您未授权该应用程序，您仍可能被重定向到网络钓鱼网站。

10.什么是药学？

Pharming是一种网络钓鱼攻击，它依赖于一种称为DNS缓存中毒的中间人攻击形式，即使用户输入了正确的域名，也会将用户从合法站点重定向到网络钓鱼站点。

11.什么是Tabnabbing？

Tabnabbing是一种网络钓鱼攻击，它使用非活动选项卡和浏览器在非活动选项卡中导航的能力。攻击者使非活动选项卡重定向到钓鱼网站，然后等待用户导航回该选项卡。如果用户打开受感染的选项卡并登录，他们的凭据将被暴露。如果攻击者能够检查用户在其非活动选项卡中拥有的知名网站，则Tabnabbing可以非常成功。一旦检测到，攻击者可以将选项卡替换为与原始站点相同的网络钓鱼登录页面。Tabnabbing与网站伪造不同，不一定需要启用JavaScript。攻击者可以使用metarefresh元元素，这是一个HTML属性，可在给定时间后重新加载新页面。