2024 年，网络钓鱼仍然是最普遍、最危险的网络安全威胁之一。尽管技术在不断进步，人们的意识也在不断提高，但网络犯罪分子仍在继续利用人类的弱点，调整战术以逃避检测并最大限度地扩大影响。本文深入探讨了网络钓鱼仍然是最大威胁的原因，并探讨了如何使用技术解决方案来防止成功的网络钓鱼攻击，即使是在发生人为错误的情况下。
网络钓鱼攻击的演变
网络钓鱼攻击自诞生以来已经发生了重大演变。早期的网络钓鱼尝试通常很粗糙，很容易识别，依靠的是写得很差的电子邮件和通用信息。在网络钓鱼的早期，安全意识培训非常成功，因为教会用户识别和避免攻击相当容易。然而，现代网络钓鱼活动非常复杂，采用了先进的社交工程技术，并利用时事来提高成功率。
网络钓鱼最显著的趋势之一是使用个性化和有针对性的攻击，即所谓的鱼叉式网络钓鱼。与传统网络钓鱼的广泛撒网不同，鱼叉式网络钓鱼针对的是特定的个人或组织。攻击者会对受害者进行全面调查，从社交媒体资料、公共记录和其他来源收集信息，从而制作出令人信服和高度定制的信息。这种个性化程度使得即使是警惕性最高的人也很难识别出欺诈性电子邮件。
人为因素
尽管网络安全技术不断进步，但人为因素仍是一个关键漏洞。网络犯罪分子利用人的心理，依靠恐惧、好奇和紧迫感等情绪来促使人们采取行动。培训和提高认识计划对于降低这种风险至关重要，但如果只需要一封成功的网络钓鱼电子邮件就能入侵企业，那么这还远远不够。即使是训练有素的个人也可能成为精心设计的网络钓鱼企图的受害者，这就凸显了技术的必要性，即使在人类失败时也能提供保护。
人工智能和网络钓鱼的未来
网络犯罪分子善于利用当前事件和趋势，使他们的网络钓鱼企图更具说服力。2024 年，这包括利用 COVID-19 大流行、远程工作趋势和地缘政治紧张局势的持续影响。随着人工智能的加入，这些威胁将越来越逼真，也越来越难以察觉。虽然人工智能确实有一些内置的保护措施，但永远不可能完全防止人工智能被滥用于网络钓鱼等行为。
下面是一个使用 ChatGPT 的快速示例。如果我们要求人工智能直接生成一封钓鱼邮件，它会正确地拒绝：
但是，如果我们将要求改为生成一封非常成功的网络钓鱼电子邮件示例，它就会很高兴地生成一封可以用于实际网络钓鱼攻击的电子邮件，而且只需做很小的改动：
然后，一旦 ChatGPT 创建了 “示例 ”网络钓鱼电子邮件，我们甚至可以让人工智能对其进行进一步定制，以创建有针对性的鱼叉式网络钓鱼电子邮件：
利用全面的网络安全解决方案缓解网络钓鱼威胁
网络钓鱼仍然是一种持续性威胁，需要采取全面、多层次的网络安全方法。有效的防御包括了解各种攻击载体以及应对它们的适当缓解措施。
常见的网络钓鱼策略：
- 恶意链接：包含有害内容的 URL，通常使用拼写错误或子域等欺骗性技术，以显示合法（如 https://amazon.ssl-tls.com 或 https://amazonn.com）。
- 恶意文件：这些文件可能是电子邮件附件，也可能是从钓鱼电子邮件中的链接下载的文件，如从假冒 SharePoint 网站下载的文件。EXE、HTA 和某些 Microsoft Office 文档等文件可建立命令控制通道，为攻击者提供远程访问权限。
- 凭证盗窃：诱骗用户登录虚假网站的电子邮件。例如，电子邮件可能会提示用户输入公司凭证以访问重要文件，然后将输入的信息发送给攻击者。
- 信用卡/发票欺诈：通过索取信用卡信息或附上假发票要求付款的电子邮件。
网络钓鱼网络安全解决方案清单：
防网络钓鱼的多因素身份验证 (MFA)：确保使用防网络钓鱼的多因素身份验证 (MFA) 方法，如 FIDO2。OnlyKey 是经 FIDO 认证的安全密钥，可在此处购买。
保护性 DNS 服务 (PDNS)： 部署 PDNS 以阻止对恶意域的访问。如果用户点击已知恶意网站的链接，PDNS 将阻止该网站加载。
云电子邮件安全： 实施强大的云电子邮件安全解决方案，自动过滤钓鱼邮件、垃圾邮件和其他恶意内容。
端点和扩展检测与响应（EDR/XDR）： 利用 EDR 和 XDR 解决方案进行全面的威胁检测和响应。
定期第三方渗透测试： 定期进行渗透测试，以识别和减少漏洞。
安全意识培训： 定期培训员工识别和应对网络钓鱼威胁。