钓鱼诈骗成功率高，80%企业用户未能识破诈骗伎俩

迈克菲今日公布了《迈克菲实验室威胁报告（2014 年 8 月）》。报告显示，钓鱼诈骗仍然是入侵企业网络的一种有效手段。通过旨在测试企业用户检测在线诈骗能力的“迈克菲钓鱼诈骗小测验”，迈克菲实验室发现，针对 7 封钓鱼诈骗邮件，80% 参与测验的企业用户至少有一封未能检测出来。结果还显示，财务和人力资源这类拥有企业最敏感数据的部门在欺诈检测方面表现最差，落后其他部门 4% 至 9%。

自上一季度《威胁报告》发布以来，迈克菲实验室采集的新钓鱼 URL 超过 250,000 个，使过去一年新发现的钓鱼站点总数接近 100 万个。不仅总量呈现增长态势，钓鱼攻击的复杂性也显著增强。研究结果显示，大规模活动式钓鱼诈骗和鱼叉式钓鱼诈骗仍是全球网络犯罪分子惯用的攻击策略。美国仍然比其他国家或地区拥有更多的钓鱼诈骗 URL。

迈克菲实验室高级副总裁 Weafer 表示：“我们如今面临的重大挑战之一是升级 Internet 核心技术以更好地满足其现在所承载的流量规模和敏感性要求。过去几年，信任链的每一个部分都已被‘攻破’—— 从密码到 OpenSSL 公共密钥加密乃至最近的 USB 安全。我们高度依赖的基础设施所基于的技术已经跟不上时代的变化，且不再能够满足当今的需求。”

这份报告的研究成果还揭示了“心脏出血”(Heartbleed ) 漏洞被公开曝光以来出现的新的网络犯罪“商机” —— 从存在漏洞的网站窃取的数据正在黑市上出售。未安装补丁的网站很快成为网络犯罪分子觊觎的目标，可利用现成的工具来“挖掘”这类存在漏洞的站点。借助这些工具，能够与一个已知存在漏洞的设备为目标进而攫取敏感信息的自动化系统相关联。

其他主要研究结果

• Operation Tovar：迈克菲与全球执法部门和其他相关机构携手打击 Gameover Zeus 和 CryptoLocker，拦截 125,000 多个 CryptoLocker和 sinkholing，以及 120,000 个 Gameover Zeus。不过，“山寨版”仍然层出不穷，它们使用泄露的 Zeus 源代码创建勒索软件或以财务为目标的恶意软件。

• 恶意软件呈增长态势：第二季度，新恶意软件样本仅增长 1%。不过，超过 3,100 万个新样本仍是单季所记录的最大数量。第二季度，移动恶意软件总量增长 17%，新增恶意软件数量平均每季度约为700,000 个。

• 网络威胁：拒绝服务攻击第二季度增长 4%，仍然是最常见的网络威胁类型。

迈克菲实验室提示您如何防范钓鱼诈骗:

1. 确保及时更新您的电子邮件、Web 和终端安全产品。评估电子邮件、链接或下载的安全性时，要充分考虑安全软件警告。
2. 即使来自可信来源的电子邮件也可能有害。2005 年以来，因数据威胁而遭到攻击的个人数据记录超过 8.84 亿条，您无法始终确保所有来自您所知来源的电子邮件都是无害的。诈骗邮件制造者可能假冒您的同事或朋友。因此在下载内容或点击链接前，务必要核实电子邮件的发送方。
3. 同事可能无意间发送了受感染的链接或下载文件。即使真是您的同事发送的邮件，邮件也有可能已被感染、安全软件也可能已过期或者您可能遗漏了安全警告。如果您的安全软件警告您链接或下载是恶意的，则切勿点击或下载内容。
4. 看似无害的电子邮件并不意味着真的是合法的。当心格式错或包含错误拼写的电子邮件 —— 尤其是来自知名公司的。不过，要切记，电子邮件“看似无害”并不意味着真正无害。狡猾的钓鱼诈骗邮件可能看上去与合法邮件别无二致。
5. 有些电子邮件地址显然来自假冒的第三方网站，对于高明的钓鱼诈骗制造者来说，让一个电子邮件看上去与合法域如出一辙是轻而易举的事。特别当心并且始终假设电子邮件可能是一封网络钓鱼诈骗邮件 —— 即便它看上去是无害的。
6. 与电子邮件地址类似，创建令人信服的 URL 对高明的钓鱼诈骗制造者也不是难事。悬停（在移动设备上长按）在电子邮件中的链接上可发现明显的假冒痕迹，不过，许多虚假 URL 做得足以乱真。一些安全软件可以为您检查 URL 安全，不过，如果您有所怀疑，可使用搜索引擎查找真实 URL。
7. 您最安全的选择是始终通过自己发现来掌控一切。如果在没有可实时扫描 URL 的安全工具的情况下点击链接，您可能会被链接拖入它 “想”让您去的任何地方。多花十秒钟自行搜索一下网站—— 这能确保您的公司免受数小时设备维修之苦、有效保护您的敏感信息，防范 ID 窃取。任何可信方都不会要求您通过电子邮件提供敏感信息。谨记预防为主，补救为辅。