冒牌政府垃圾邮件开始瞄准执行官

　　在过去的一个半星期里面，谣传是来自国内税收服务部门和更佳商业管理局(BBB)的垃圾信息通过网络钓鱼的方式专门瞄准了企业高层领导人。

　　专家们说，这些有针对性的网络钓鱼攻击，有时候叫做“鱼叉式网络钓鱼”，不是新鲜事物，但是这些钓鱼者们更加熟悉有针对性的瞄准那些能够接触到公司内容敏感数据的经验丰富的电子邮件用户们。

　　“这个例子表明并且为我们展示了，这些类型的攻击正变得越来越有针对性，” Sam Masiello说，他是MX Logic 公司负责威胁管理的主任。“公司在培训他们自己的用户的方面需要更加细心。”

　　Masiello说，他的公司的反钓鱼算法在5月24日的晚上检测到了不断增加的谎称是来自更好服务管理局的信息。这些消息通知接收者，他们的公司是正式投诉的对象，要求读者点击一个附件来查看这些投诉。

　　“当你执行附件的时候，Word文档就会将其自身隐藏的特罗伊木马安装到你的PC上，” Masiello说。特洛伊，记录下键盘，然后会将这些按键信息上传到一个第三方网站上去，在那里，钓鱼者收集敏感数据，类似密码，账号信息。

　　Masiello说，这些消息是针对高层执行官员的，例如首席执行官，首席财务官，首席运营官等。钓鱼者将这些目标的个人姓名和他们的公司的名字写进消息中。他说，钓鱼者可能会通过在公司企业网站上进行网络钓鱼，或者通过这些姓名来推算出通常的电子邮件地址的方式来获得目标的电子邮件。

　　这些垃圾信息谎称是来自联邦政府的，这点并不常见，因为这会让钓鱼者惹上很大很大的麻烦。

　　“通常政府部门不会频繁成为目标，” Masiello说。“联邦政府在处置方面拥有用不完的资源。如果垃圾邮件谎称是来自更好服务管理局，并由此上了联邦政府部门的通缉名单，那么很快就会有很多的资源被用来寻找你，你会很快被抓出来，并送进监狱。”

　　在周一，更好服务管理局发表了一篇正式声明，其中包含了对企业和消费者有关网络钓鱼攻击的警告。网络钓鱼消息表面上看起来是来自合法的管理局电子邮件地址，声明警告说。管理局还说，他们将会与电子犯罪特别行动组一起合作来追踪网络钓鱼者。

　　Masiello说，此类消息的新的变种已经在周四出现。消息的内容仍然大部分没有更换，但是谎称的目标现在是IRS。

　　这些鱼叉式网络钓鱼攻击对于反钓鱼技术来说是存在问题的，因为消息的体积比通常的网络钓鱼攻击要小，因此，也就更难检测。Masiello说这种趋势还会继续下去。

　　“除了这些大规模的攻击之外，还有数不清的用户收到同样的消息，你会看到攻击日趋本地化，更有针对性，” Masiello说。“这种趋势将会躲避开每天处理上百万个消息的服务提供商的搜索。如果针对比较小范围的用户的话，更容易通过。那么你收到的客户投诉也越少，所以提供商们也不会太注意。”

　　另外一种常见的攻击形式就是宣称来自公司内部IT部门的网络钓鱼消息。例如，这个消息告诉用户，他们的公司密码不符合要求，要求他们点击一个链接去修改密码。当然，这个网络钓鱼会通过把他们带出到外部网站，从而危及到用户的现有密码。

Avivah Litan是位于康州斯坦福的Gartner公司的副总裁和著名的分析师，他说，鱼叉式的网络钓鱼犯罪由于他们的社交工程技术和他们的技术方式，正在变得日益老练。

　　钓鱼者不再使用大品牌的名字，例如信用卡公司和大银行，她说，而是使用那些很少与钓鱼者关联在一起的名字，例如更好服务管理局。这对用户来说是个困扰，他们可以识别来自银行的虚假邮件，但是会被来自管理局的电子邮件所欺骗。

　　Litan说，垃圾邮件过滤器使用IP地址来判断谎称是来自银行或者其他常见的网络钓鱼消息的来源。通常，这些过滤器甚至都不知道管理局的IP地址。

　　这些有针对性地攻击由于数量的关系对他们来说更难检测。

　　“检测起来很难，因为他们几乎都没有很大量，” Litan说。“垃圾邮件攻击的一个标志就是来自某个服务器的电子邮件的数量。在目标上没有量，服务器上也没有很大的量，因为他们是通过僵尸网络来发送消息的。”

　　Litan说，IT企业可以尝试培训用户，告诉他们有关这类网络钓鱼攻击的危险，但是这还不够。

　　“这样的事情通常很容易点击，” Litan说。“不是因为人们愚蠢，而是因为骗子太狡猾。”

　　Bill Kisse是Electronic Systems Services公司的首席执行官，这是一家位于美国马里兰州克拉克斯堡的为零售业和食品服务公司制造POS机的生产厂商。Bill说，他没有见过谎称来自更好服务管理局或者IRS的钓鱼信件。他说他把公司的垃圾邮件过滤技术设置得非常高，能够阻塞大部分有问题的电子邮件。

　　除了垃圾邮件过滤技术的警惕性之外，他的公司还花了一些时间去定期培训用户，告诉他们有关网络钓鱼攻击的事情。好的防垃圾邮件技术是很重要的，他说，但是培训也很重要。

　　“我的系统管理员坐在办公室里面，每当他看到有事情不对劲，就会发出一个提醒，” Kisse说。“例如，有消息让你更新你的美国银行或者PayPal的信息。而这件事情是你6个月之前就听说过的，只是忘了，那么你就会想起来。”

　　Kisse说他曾经上过网络钓鱼攻击的当。

　　“我上当了。它要求我更新我的信息，我照做了。然后我意识到，并且说‘比尔，你个傻瓜!’10秒钟之后，我更改了我的密码。有时候，你确实会犯傻。这是一个非常有效的战略。即使是1000次里面有一次成功，对钓鱼者来说，它也值得了。”

标签： 电子邮件 服务器 美国 企业 企业网站 搜索 网络 网站 问题 用户

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点！
本站所提供的图片等素材，版权归原作者所有，如需使用，请与原作者联系。