什麼是“魚叉式網路釣魚”，它是如何摧毀大公司的？

新聞中充斥著針對政府、大公司和政治活動家的“魚叉式網路釣魚攻擊”的報道。根據許多報道，魚叉式網路釣魚攻擊現在是公司網路最常見的洩密方式。...

新聞中充斥著針對**、大公司和政治活動家的“魚叉式網路釣魚攻擊”的報道。根據許多報道，魚叉式網路釣魚攻擊現在是公司網路最常見的洩密方式。

魚叉式網路釣魚是一種新的更危險的網路釣魚形式。“長矛釣魚者”沒有大張旗鼓地大張旗鼓地希望抓住任何東西，而是精心策劃了一次針對個人或特定部門的攻擊。

釣魚網站解釋道

網路釣魚是一種模仿可信的人來獲取你的資訊的行為。例如，網路釣魚者可能會發送垃圾郵件，假裝來自美國銀行，要求您單擊連結，訪問假冒的美國銀行網站（網路釣魚網站），並輸入您的銀行詳細資訊。

然而，網路釣魚不僅僅侷限於電子郵件。網路釣魚者可以在Skype上註冊一個類似“Skype支援”的聊天名稱，並透過Skype訊息與您聯絡，說您的帳戶已被洩露，他們需要您的密碼或信用卡號碼來驗證您的身份。這在網路遊戲中也有發生，騙子冒充遊戲管理員，傳送資訊詢問你的密碼，他們會用密碼盜取你的賬戶。網路釣魚也可能發生在電話上。在過去，你可能會接到電話，聲稱是來自微軟，並說你有一個病毒，你必須支付刪除。

釣魚者通常撒網很廣。美國銀行的網路釣魚郵件可能會發送給數百萬人，甚至是那些沒有美國銀行賬戶的人。正因為如此，網路釣魚通常很容易被發現。如果你和美國銀行沒有關係，收到一封聲稱是他們發來的郵件，應該很清楚這封郵件是騙局。網路釣魚者依賴於這樣一個事實：如果他們接觸到足夠多的人，最終會有人上當。這和我們仍然有垃圾郵件的原因是一樣的——一定有人愛上了他們，否則他們就無利可圖了。

更多資訊，請檢視仿冒電子郵件的剖析。

魚叉式網路釣魚有何不同

如果說傳統的網路釣魚是撒網以圖抓到什麼東西的行為，那麼魚叉式網路釣魚則是針對特定的個人或組織，並針對他們個人定製攻擊的行為。

雖然大多數網路釣魚郵件都不是很具體，但魚叉式網路釣魚攻擊使用個人資訊使詐騙看起來真實。例如，電子郵件可能會說“嗨，鮑勃，請閱讀我們在週二的會議上起草的商業計劃書，讓我們知道你的想法”，而不是讀“親愛的先生，請點選這個連結以獲取驚人的財富”。電子郵件可能看起來來自你認識的人（可能有偽造的電子郵件地址，但可能有真實的電子郵件地址）電子郵件地址，而不是你不認識的人。這個請求是精心設計的，看起來可能是合法的。電子郵件可能涉及到你認識的人、你購買的商品或其他個人資訊。

對高價值目標的魚叉式網路釣魚攻擊可以與零日攻擊相結合，以獲得最大的傷害。例如，一個騙子可以給某個特定企業的個人發郵件說“嗨，鮑勃，請看一下這份商業報告好嗎？簡說你會給我們一些反饋，“有一個看起來合法的電子郵件地址。這個連結可以連結到一個帶有嵌入式Java或Flash內容的網頁，這些內容利用零點日危害了計算機。（Java尤其危險，因為大多數人都安裝了過時且易受攻擊的Java外掛。）一旦計算機受到攻擊，攻擊者就可以訪問其公司網路或使用其電子郵件地址對組織中的其他個人發起有針對性的“矛”式網路釣魚攻擊。

騙子還可以附加一個偽裝成無害檔案的危險檔案。例如，魚叉式網路釣魚電子郵件可能附帶了一個PDF檔案，實際上是一個.exe檔案。

誰真的需要擔心

魚叉式網路釣魚攻擊正被用來攻擊大公司和**訪問其內部網路。我們不知道每一個公司或**已經成功的魚叉網路釣魚攻擊妥協。組織通常不會透露危害他們的確切攻擊型別。他們甚至不願意承認自己被駭客入侵了。

快速搜尋發現，包括白宮、Facebook、蘋果、美國國防部、《****》、《華爾街日報》和Twitter在內的組織都可能受到了魚叉式網路釣魚攻擊。這些只是我們所知道的已經受到損害的組織中的一小部分——問題的程度可能要大得多。

如果攻擊者真的想危害一個高價值的目標，那麼魚叉式網路釣魚攻擊（可能與在黑市上購買的新的零日攻擊相結合）通常是一種非常有效的方法。當一個高價值的目標被攻破時，魚叉式網路釣魚攻擊經常被提及。

保護自己免受魚叉式網路釣魚

作為個人，你不太可能像**和大公司那樣成為這種複雜攻擊的目標。但是，攻擊者仍可能試圖透過將個人資訊合併到網路釣魚電子郵件中來對您使用矛式網路釣魚策略。必須認識到，網路釣魚攻擊正變得越來越複雜。

說到網路釣魚，你應該提高警惕。讓你的軟體保持最新，這樣你就可以更好地保護自己，如果你點選電子郵件中的連結。開啟電子郵件附件時要格外小心。當心不尋常的個人資訊請求，即使是那些看似合法的請求。不要在不同的網站上重複使用密碼，以防你的密碼被洩露。

網路釣魚攻擊通常試圖做一些合法企業永遠不會做的事情。你的銀行永遠不會給你發電子郵件並詢問你的密碼，你購買商品的公司永遠不會給你發電子郵件並詢問你的信用卡號碼，你永遠不會收到來自合法組織的即時訊息，詢問你的密碼或其他敏感資訊。不要點選電子郵件中的連結，並給出敏感的個人資訊，無論多麼令人信服的釣魚電子郵件和釣魚網站。