网络鱼是什么? 企业家们的安全指南

一位财务经理收到了一封看似来自可信供应商的电子邮件。邮件中的标识是正确的，语气很熟悉，邮件中要求在支付发票之前紧急更新银行详细信息。点击或回复邮件可能会将合法付款转到犯罪分子账户。这就是这个问题背后的商业现实。 什么是网络钓鱼?

网络钓鱼是一种社会工程攻击，犯罪分子会假冒可信赖的人、公司、平台或权威机构，诱骗他人分享信息、汇款、安装恶意软件或授予访问权限。攻击可能通过电子邮件、短信、电话、社交媒体或令人信服的虚假网站进行。

对于组织而言，网络钓鱼不仅仅是一个 IT 问题。它是一种运营、财务和声誉风险。攻击者针对人类的决策过程，通常利用紧迫感、权威、好奇心或恐惧来绕过保护系统的控制措施。

什么是网络钓鱼，为什么它能奏效？

网络钓鱼之所以能奏效，是因为它看起来很普通。攻击者并不总是需要突破防火墙或发现软件漏洞。在许多情况下，他们只需要让员工相信请求是真实的。

网络钓鱼邮件通常会复制知名品牌的视觉标识和语言。它可能会声称帐户将被暂停、密码已过期、货运延误，或高层需要一份紧急文件。其目标是施加足够的压力，让收件人在验证请求之前就采取行动。

后果取决于攻击者的目的。被盗的密码可以用来访问企业电子邮件、云存储、财务工具或客户记录。欺诈性付款请求可能会导致立即发生财务损失。恶意附件可能会引入勒索软件，中断运营，并造成代价高昂的恢复过程。

最令人信服的网络钓鱼尝试是量身定制的。犯罪分子可以从网站、社交平台、新闻稿和泄露的数据中收集姓名、职位、供应商和上市公司信息。这项研究使得来自所谓的首席执行官或供应商的电子邮件看起来比普通的诈骗更可信。

常见的网络钓鱼攻击类型

电子邮件钓鱼仍然是最常见的形式。邮件可能包含一个有害的链接、一个伪造的登录页面或伪装成发票、报价、报告或共享文件的附件。即使邮件写得不好，一个可识别的标志或紧急的主题行也能鼓励人们匆忙做出回应。

鱼叉式网络钓鱼更具针对性。攻击者不会向数千人发送相同的信息，而是针对特定的员工、部门或组织。营销主管可能会收到虚假的营销活动提案，而 IT 管理员可能会收到伪造的安全通知。

商业电子邮件入侵（通常称为 BEC）对公司来说尤其有害。攻击者可能会冒充高层管理人员、供应商或法律代表，并要求进行电汇、工资单更改或提供敏感文件。在某些情况下，犯罪分子会访问真实的邮箱，在最可信的时刻发送请求之前先观察对话。

Smishing 使用短信或消息应用程序。关于未送达、帐户验证、停车罚款或紧急付款的文本可以引导收件人进入一个虚假网站。Vishing 使用电话，攻击者假扮银行代表、技术支持代理、政府官员或公司高层。

克隆式网络钓鱼会复制收件人之前看到过的一条合法消息，但会用恶意版本替换原始附件或链接。QR 码网络钓鱼有时也称为 quishing，它会在电子邮件、海报或文档中放置一个 QR 码，受害者用移动设备扫描它，而传统的电子邮件安全措施可能不太明显。

如何识别网络钓鱼企图

没有一个警告信号可以证明消息是欺诈性的。合法的企业可以发送紧急通知，值得信任的联系人可能会提出意想不到的要求。更强有力的方法是寻找不寻常细节的组合，并通过单独的渠道验证重要的行为。

当消息要求提供凭证、付款、机密信息或更改流程时，请注意。重置密码、批准发票、购买礼品卡、披露验证码或更新银行详细信息的请求值得仔细审查，特别是如果它设置了最后期限或要求收件人对该事项保密。

仔细检查发件人的地址，而不仅仅是显示的名称。攻击者通常会使用一个字符不同的域名，添加一个额外的单词，或使用一个看起来像的字母。看似来自同事的消息可能来自个人地址或不熟悉的域名。

在选择链接之前，先检查它指向哪里。在电脑上，鼠标悬停在链接上可以显示目标。在移动设备上，长按链接可以显示完整地址。一个看起来很安全的页面并不一定就是合法的，因为犯罪分子可以快速创建看起来很专业的页面。

附件也需要小心对待。对于带有意外扩展名的文件、受密码保护的文件或要求用户启用宏的邮件，应谨慎对待。如果供应商发送了一份意外发票，请使用已存储在记录中的号码呼叫已知的供应商联系人，而不是回复电子邮件。

商业成本不仅仅是密码被盗

一次成功的网络钓鱼攻击可以破坏的不仅仅是一个员工帐户。如果攻击者入侵了邮箱，他们可以重置连接服务的密码，向客户发送欺诈性消息，访问合同或财务记录，并研究内部工作流程。

对于面向客户的企业来说，信任的影响可能是巨大的。一个被入侵的帐户可能会泄露个人数据，也可能会让攻击者使用组织的身份联系客户。即使技术问题很快得到控制，客户也可能会怀疑他们的信息和交易是否得到了妥善保护。

停机时间是另一个因素。通过 网络钓鱼附件 可能会影响共享驱动器、设备、应用程序和备份。成本包括恢复工作、生产力损失、事件响应、可能的法律义务以及与客户和利益相关者沟通所需的管理时间。

每个组织的风险水平各不相同。小公司可能拥有更少的系统，但专门的安全资源也更少。大型组织可能拥有更多分层的控制措施，但其交易量、员工和外部供应商的数量会扩大攻击面。使用电子邮件、云应用程序或数字支付的每个企业都需要一个实用的防御计划。

建立一个实用的防钓鱼网络

有效的保护需要将人员、流程和技术结合起来。安全意识培训至关重要，但光靠培训是不够的。员工需要明确的报告路径、支持验证的政策以及可以减少诚实错误影响的技术控制。

首先，建立一种简单的文化：任何人都不应该因为暂停以验证可疑请求而受到处罚。财务团队应该独立确认付款指令的更改。员工应该通过已知的电话号码、直接对话或既定的内部渠道来验证不寻常的执行请求。对可疑消息的回复并不是独立的验证。

在电子邮件、云平台、财务系统和管理员帐户中使用多因素身份验证。多因素身份验证并不能消除所有的威胁，特别是如果用户批准了欺诈性提示或在虚假网站上输入了详细信息，但它可以大大降低被盗密码的效用。

电子邮件过滤、域名保护 端点安全定期修补和控制访问权限构成了技术基础。企业还应维护可靠的、经过测试的备份，并与主系统分开。只有在实际事件条件下可以恢复时，备份才有价值。

对于处理付款或敏感数据的团队，应定义职责分离的审批工作流程。对于高价值的转账或更改供应商银行详细信息，绝不能只通过一封电子邮件来授权。这可能比非正式流程感觉更慢，但这种小延迟通常比从欺诈中恢复的成本要低得多。

最后，在攻击发生之前，要准备好事件响应流程。员工应该知道在遇到可疑消息时应该联系谁，如何报告可疑消息，以及如果他们点击了链接或输入了凭证，应该立即采取哪些措施。快速报告可以使 IT 团队在攻击者进一步进入环境之前重置访问权限、隔离设备、撤销会话并限制损害。

支持增长的安全思维

数字化转型提高了效率、可见度和客户便利性，但也创造了更多需要保护的互联系统。网站、移动应用程序、电子邮件平台、托管环境和云工具的设计和管理应该将安全作为业务要求，而不是事后的想法。

DATA 帮助组织将安全的数字基础设施与更广泛的增长目标相结合，从可靠的 托管和维护 到量身定制的网络和技术解决方案。正确的做法取决于您的系统、行业、数据暴露和内部工作流程，但原则保持一致：安全控制必须支持人们做出更安全的决策。

下一条可疑消息可能看起来很熟悉、很紧急，而且完全是例行公事。知道如何暂停、验证和报告的团队，会大大减少攻击者将该消息变成商业危机的机会。