事实上，哪怕是世界上技术最先进的攻击者，在发起一次攻击活动前，也会尝试利用网络钓鱼来植入勒索软件、恶意软件、远程访问木马或恶意链接等，攻击者会仔细研究目标公司的网站和社交媒体账号，一切有关企业近况的信息对于他们来说都是无价的，攻击者可以根据这些信息构建有针对性的欺诈性内容。
有专家指出，之所以网络钓鱼仍然备受攻击者青睐，是因为它既简单又高效。“网络钓鱼攻击越来越复杂，攻击者不断提高自己的能力和进攻工具，他们也正在以更有组织、更有创新性和更聪明地方式来定位目标。”
以下四点揭示了网络钓鱼威胁日益严峻的原因：
远程办公模式的兴起为攻击者提供了机会。在远程和混合工作时代，企业严重依赖电子邮件，攻击者正在发送更多电子邮件以利用企业的这个弱点。同时，这种办公模式也使得员工之间无法当面提醒对方收件箱中可能存在的可疑电子邮件。
网络犯罪分子在不断升级他们的钓鱼欺诈策略。攻击者早已发现，通过操控员工的心理能够提高网络钓鱼攻击的成功率。如果在发送钓鱼邮件的同时，再通过电话或短信的方式对目标进行双重诱导时，钓鱼邮件的点击率会上升至53.2%，这一数字比群发钓鱼邮件实现的点击率高出了3倍。甚至人们会明知电子邮件十分可疑的情况下，按捺不住好奇心而点击查看。
暗网黑市组织越来越成熟专业。今天的攻击者已经不再需要自己开发一套欺诈剧本，或是准备一套专业的技术工具，因为在暗网黑市上这些需求都能够得到很好的满足，网络犯罪分子可以在暗网上买到任何类型网络钓鱼指令工具包。
员工安全意识教育方式创新性不足。尽管电子邮件诈骗策略越来越先进，但员工安全培训却并没有跟上变化的步伐。许多公司每年都会对员工进行安全培训，但简单的说教和答题测试价值十分有限。“你可以给电脑打补丁，你可以给服务器打补丁——但想一个人打补丁是很难的，或许需要更激进的安全教育方式。”
其实上述报告阐述的原因在业内早已经是共识，尤其是涉及员工安全意识教育层面，已经被业内频繁说起，但这仍不能阻止遭受钓鱼邮件攻击的频繁发生。针对这一问题，知道创宇CSO、著名白帽子黑客——周景平（黑哥）在接受安全419采访时表示，为了让企业员工养成良好的安全意识，不能光靠说教，应该进行完全的模拟演习测试，也就是我们常说的实战演练。在他看来，要经常对员工开展这方面的工作，“安全意识培训并不简单，只有让员工亲身经历过类似安全事件，甚至要让他们有那种‘一朝被蛇咬，十年怕草绳’的感觉，他才能体会到安全意识对于防范类似钓鱼攻击对企业甚至是个人安全的重要性。”
另外，周景平还指出，不同岗位的员工鉴别钓鱼邮件的能力不同，一些低劣的钓鱼攻击可以一眼被技术岗位的员工所识别，但对于非技术岗员工而言，通常难以评估类似邮件是否带有其他恶意目的。这段话意味着，即便是做安全意识教育，也要针对不同类型的员工去有侧重点的进行。
与此同时，针对前一段时间沸沸扬扬的某互联网企业遭受钓鱼攻击一事，安全419还曾专门制作过一期《大咖聊新闻》视频节目，邀请了持安科技、零零信安以及无糖信息专门针对该事件进行了解读，同时他们也都提出了各自的建议，对于防范钓鱼邮件攻击而言有较高的参考价值。
为了阻止网络钓鱼电子邮件 企业应该探索更多的方式
IBM Security X-Force发布的这份报告对于如何组织钓鱼攻击也提出了自己的建议，并指出网络钓鱼电子邮件只是一次网络攻击活动到来之前的先兆，一旦成功通过钓鱼打入企业内部，攻击者会迅速部署下一阶段的攻击，例如勒索软件或数据盗窃。根据数据泄露报告的成本，由网络钓鱼诈骗引起的数据泄露平均给公司造成 465 万美元的损失。
不幸的是，当前尚没有一种工具或解决方案可以完全阻止所有网络钓鱼攻击。IBM Security X-Force 建议采用分层方法，从过滤恶意消息的安全解决方案开始做起，比如零信任安全。
零信任安全解决方案将通过不断验证用户的身份并最大限度地减少可以访问有价值数据资产的人数，防止攻击者深入系统。拥有成熟的零信任策略可以在发生违规事件时节省资金。根据数据泄露成本报告，采用这种策略的组织平均比不使用零信任的组织少花费 176 万美元。
无论用什么策略来保护企业安全，最重要的一点不是采购何种类型的安全产品，而是要真正将安全产品用起来。不要只是买了安全产品后，插上电源就放在一边。攻击者在变得更老练，他们在学习如何反制用来防御的所有技术方法，因此，不断的测试当前的安全措施，并根据攻击者的思路进行动态调整是十分重要的。
京公网安备 11010802033237号
