Get Skyda

2023, 七月 27

安全问题

10 min read

Matt S.

解释网络钓鱼：了解短信网络钓鱼

Smishing 是一种利用短信进行的欺诈活动，是指通过短信诱骗个人提供敏感信息的攻击行为。

黑客、骗子和网络犯罪分子可能有几十种甚至上百种方法来愚弄我们，想想都觉得有点好笑。有些黑客比其他黑客更狡猾，以顶级企业为目标。属于后一类的黑客手段之一被称为 Smishing 或 SMS Phishing。

在本指南中，我们将解释它是什么、如何运作、为什么您可能面临风险、这些骗局源自何处等等。希望在阅读完我们的指南后，您能够识别此类攻击，更好地保护自己和财产。那么，让我们开始吧！

网络钓鱼（短信钓鱼） - 101 概述

首先，让我们了解一下基本知识。这些涉及定义、解剖或它的工作原理，以及其他必须了解的信息。

什么是 Smishing？

要回答 "什么是 Smishing？网络钓鱼.这个词网络钓鱼描述了一种网络诈骗手段。听起来类似于捕捞因为黑客放出诱饵，等待鱼类(如受害者）咬伤。

下面的基本图解展示了它的工作原理。

通常，高质量的网络钓鱼需要良好的社会工程学技能和编程方面的诀窍，或者能够使用强大的恶意软件。网络钓鱼者试图冒充合法组织或严肃的个人，发送有害程序和诈骗链接，并希望毫无戒心的用户采取某种行动，从而达到目的：

让设备感染恶意软件
窃取你的个人信息或钱财
完成以上所有工作

正如您所看到的，知道它的人并不多。此外，你也不能说网络钓鱼不是一件严重的事情。每年，它都会给企业和个人造成数百万美元的损失。

那么，"钓鱼 "或其含义
只是通过短信进行的网络钓鱼。

它是如何工作的？剖析短信钓鱼攻击

对 Smishing 攻击的解剖或整个过程有两个视角。一个是黑客的视角，另一个是受害者的视角。要使攻击有效并达到目的，攻击必须引人注目、布局合理且执行得当。

请看下面的例子。

在美国，特别是欧盟，有一种流行的短信钓鱼方式。人们被发送登录链接，以支付违反冠状病毒限制的罚款。实际上，并不存在违规行为或罚款，但人们还是上当了。

但是，让我们来看看是什么让这种攻击脱颖而出，是什么将精心实施的短信网络钓鱼行动与徒劳无功的尝试区分开来。成功的网络钓鱼攻击通常包含几个关键要素：

发件人欺骗

.网络犯罪分子利用设备、应用程序和巧妙的移动网络工程来操纵收件人手机上显示的发件人信息。攻击者希望冒充知名人士，如银行、电话运营商、医疗机构、税务检查员等。

令人信服的信息内容

.钓鱼邮件的内容要精心制作，以抓住收件人的注意力，并营造一种紧迫感或好奇感。这需要可信度。突如其来的奖品或彩票信息已经不再适用。黑客需要想一些巧妙的办法，因此他们会提到一些模糊的问题来激发人们的好奇心：银行账户问题、账户和服务暂停等。请看下图。

恶意链接

.钓鱼邮件需要包含缩短的 URL 或直接链接，这些 URL 或链接会指向欺诈网站，而这些网站旨在收集敏感信息、安装恶意软件或进行其他恶意活动。否则，攻击不会奏效。所有网络安全专家都建议不要打开恶意信息中的链接，并对紧急短信保持高度警惕。有一个好书如果您想进一步了解打开此类链接的风险，请访问 Lookout.com 网站。

社会工程学技术

.网络犯罪分子利用心理战术说服收件人采取行动，而不质疑信息的真实性。这可能包括利用对经济损失的恐惧、声称有奖励或奖品，甚至是情感诉求。这一部分与引人注目的信息内容我们之前提到过。

数据采集

.一旦受害者上当受骗，在虚假网站上输入个人信息，或者安装了恶意软件，攻击者就会收集这些数据，并可能将其用于欺诈目的。

哪些人最容易成为网络钓鱼攻击的目标？

英国国家统计局完成了一项关于网络钓鱼攻击威胁的健康研究。他们的结论是，在英国，25 至 44 岁的人群面临的风险最大。其中一个正在上升的特殊骗局与快递公司有关。

卡巴斯基的这张图显示了网络钓鱼者试图冒充的对象的分布情况。快递公司、在线商店、支付系统和银行位居前列。

Infosec 研究所的另一项研究调查了 300 家企业的受访者，以了解他们的内部经验。他们发现，C 级高管最常成为攻击目标。约有 27% 的首席执行官至少受到过一次攻击。

钓鱼

或网络钓鱼攻击，首席财务官是第二大攻击目标，攻击频率为 17%。

此外，如果您在特定行业工作，您可能会成为网络钓鱼攻击的目标，这些攻击试图从内部访问您的系统或安装勒索软件。因此，如果你在这些行业中工作，就必须意识到潜在的风险。对于在金融机构、SaaS 公司和社交媒体服务提供商工作的人来说，风险似乎是最高的。

Statista 的图表显示了 2022 年第三季度网络钓鱼攻击的主要目标是哪些在线行业。

大多数网络钓鱼攻击来自哪里？

了解这些攻击通常来自哪些国家也很有用。如果您来自这些国家，在这些国家呆过一段时间，或与这些国家有联系，那么您就更有可能面临风险。对于电子邮件网络钓鱼，国界不会对范围造成太大影响，但对于短信网络钓鱼，地点就超级重要了，因为社交工程的相关性要大得多。因此，黑客可以从了解和/或理解您所在国家的某些事件和流行话题中获益。

请查看下面的地图，了解大多数网络钓鱼发件人来自哪里。

来自 Barracuda 的地图显示，网络钓鱼发件人最多的两个国家（人均）分别来自尼日利亚、乌兹别克斯坦、波罗的海国家、乌克兰、伊朗、也门、哥伦比亚和其他一些国家。最普遍的地区似乎是现代独联体和前苏联曾经存在的地区。发布该地图的同一调查显示，这些攻击中有相当一部分来自合法的云提供商。他们推测，黑客可以破坏合法服务器或电子邮件托管，并渗透到系统中。

短信钓鱼攻击主要针对哪些国家？

知道这些攻击的源头是一回事。知道自己何时最有可能成为攻击目标则是另一回事。我们可以看看卡巴斯基（最大的杀毒软件开发商之一）编制的 2021 年数据。下图显示了全球范围内发生的网络钓鱼攻击（包括网络钓鱼）。网络钓鱼更红国家在地图上的位置越靠前，用户就越有可能成为网络钓鱼欺诈的目标。

该地图显示了用户点击钓鱼者发送的链接的可能性。排名如下

用户通过短信、电子邮件等跟踪网络钓鱼链接的可能性。*该列表显示了遭遇网络钓鱼的用户占该国家/地区卡巴斯基用户总数的比例、

巴西 - 12.39
法国 - 12.21 %
葡萄牙 - 11.40
蒙古 - 10.98
法属留尼汪 - 10.97
文莱 - 10.89
马达加斯加 - 10.87
安道尔 - 10.79 %
澳大利亚 - 10.74
厄瓜多尔 - 10.73

如果你在这些国家，点击任何链接时都要格外小心。网络安全专家建议直接与公司解决任何账户和/或银行相关问题（如通过电话或到公司办公室）。这样做虽然比较费时，但可以避免不必要的风险。

历史上最著名的网络钓鱼攻击（网络钓鱼实例）

过去十年间，随着智能手机使用率的迅速提高，人们开始了解

什么是钓鱼

、它会在哪些地方发作，以及它如何影响你。然而，由于骗局越来越复杂，而人们还只是认识到这种威胁是真实和广泛存在的，因此仍然会出现不是几十人、几百人，而是成千上万人成为 Smishing 骗局受害者的情况。让我们看看历史上的一些例子。

Twilio 泄露

2022 年 8 月，为全球超过 15 万家企业提供支持的领先云通信和 API 解决方案提供商 Twilio 证实，他们遭遇了一个巨大的数据泄露事件。

被泄露的数据包括 PII（姓名、电话号码、电子邮件地址，有时甚至包括财务信息）。短信钓鱼者利用社交工程和欺诈性信息欺骗 Twilio 员工，并获取对其数据库的访问权限。这是一次组织非常严密的攻击，造成了巨大损失，而且无法追溯到恶意行为者，但最终还是被关闭了。

了解更多相关信息。

俄亥俄州的假欺诈调查员

对于俄亥俄州的一位女性居民来说，一天的生活本来很正常，但她收到的一条信息几乎瞬间引起了她的恐慌。内容如下

"大通，你是否试图电汇7500美元？如果确认，请回复 Y，如果不确认，请回复 NO 以阻止欺诈行为"。

一石激起千层浪，一名男子冒充大通银行诈骗调查员，最终从她的银行账户中盗取了 1.5 万美元。据报道，美国人每年仅因钓鱼诈骗就损失超过 3.26 亿美元。另一个消息来源（哥伦比亚广播公司新闻）称，美国人的损失中位数约为 1000 美元。哎呀

了解更多相关信息。

国家医疗服务体系骗局

在英国，尤其是在大流行病期间和之后，短信诈骗呈上升趋势。这种情况已经严重到英国国家医疗服务系统（NHS）单独发布文件帮助人们避免这些攻击的程度。下面的图片说明了英国和北爱尔兰公民不得不面对的最常见的攻击。

识别短信钓鱼攻击指南

因此，正如你们所知

Smishing 的定义

和

内涵

现在是时候介绍一些识别这种攻击的技巧了。虽然黑客总是在寻找新的方法来利用系统获取利益，但有些事情会让人觉得这不是合法的，而是一个骗局。最起码，如果你至少有 0.00001 % 的怀疑，请多花一点时间直接联系官方来源进行确认。安全总比遗憾好，还能少赚 1000 美元，不是吗？

列出了短信可能是 Smishing 攻击的 6 个迹象：

来自您的金融服务提供商（时刻保持警惕）
它敦促您回复或采取行动
它包含一个链接（大多数服务提供商只敦促您通过应用程序或网站单独登录，但不会发送任何直接链接）
有语法错误和/或奇怪的要求
您已经是常客，但信息发件人的信息似乎不同和/或作为新对话弹出
含糊不清，毫无头绪

如何安全发送信息并避免 "网络钓鱼"？

如果您想防范网络钓鱼的风险，我们建议您将普通短信转为 Skyda 等 E2E 加密信使服务。您只会收到来自您认识、接受和信任的联系人的信息。文件通过点对点方式发送，任何人都无法截获您的通信内容。

通过点击您信任来源的文件和链接，您可以更好地保护您的设备和个人数据免受网络钓鱼的侵害。

结论

因此，希望这篇文章能帮助您熟悉短信钓鱼攻击的概念、风险和剖析。通过了解历史、起源、真实案例和地理数据，您就可以忽略骗局，并更清楚地认识到其中的风险。如果您渴望了解更多有关数字隐私、网络安全和相关主题的信息，请查看我们的其他文章。博客!