网络钓鱼是一种社会工程攻击，网络犯罪分子会冒充受信任的个人、品牌或服务，诱骗受害者泄露敏感信息、转账汇款或安装恶意软件。尽管网络钓鱼最常与电子邮件联系在一起，但现代网络钓鱼攻击也会利用短信、电话、社交媒体、二维码和虚假网站。
攻击者的目标通常是制造足够的信任感或紧迫感，让受害者在核实请求真实性之前就采取行动。被窃取的用户名、密码、支付信息及其他数据随后可能被用于账户接管、欺诈或进一步发动攻击。
网络钓鱼攻击是如何运作的？
大多数网络钓鱼攻击都会遵循一个相对简单的流程。首先，攻击者选择目标并设计具有迷惑性的诱饵，例如密码重置提醒、账单、快递通知或冒充企业高管发送的消息。为了让信息看起来真实可信，攻击者可能会伪造发件人信息、使用相似域名，或复制仿冒一个网站。
接下来，受害者会被诱导点击链接、打开附件、扫描二维码，或直接提供相关信息。虚假的登录页面可能会窃取用户凭据，而恶意附件则可能安装恶意软件。被盗的凭据还可能被重复用于针对其他网站或应用程序发起的撞库攻击。
由于网络钓鱼利用的是人的判断失误，而不是某一个特定的软件漏洞，因此技术防护措施和安全意识教育需要相互配合。
常见的网络钓鱼攻击类型
电子邮件网络钓鱼
攻击者大规模发送欺诈性电子邮件，通常会冒充银行、云平台、快递服务商或雇主。这些邮件通常包含恶意链接或附件。
鱼叉式网络钓鱼
鱼叉式网络钓鱼会针对特定个人或组织实施攻击。攻击者会事先研究目标，并利用职位、同事、供应商或当前项目等信息对消息进行个性化设计，从而让请求显得更加可信。
短信钓鱼和语音钓鱼
短信钓鱼（Smishing）通过短信或即时通讯应用发送网络钓鱼信息，而语音钓鱼（Vishing）则通过电话或语音消息实施攻击。两者都依赖社会工程手段向受害者施压，诱导其泄露信息或执行不安全的操作。
捕鲸式网络钓鱼和商业电子邮件入侵
捕鲸式网络钓鱼（Whaling）主要针对企业高管或其他高价值用户。商业电子邮件入侵（Business Email Compromise，BEC）通常会冒充企业高管、供应商或财务联系人，要求受害者付款、修改账户信息或提供敏感的业务数据。
如何识别网络钓鱼攻击？
网络钓鱼消息通常会制造紧迫感、恐惧感、好奇心或经济压力。常见的警示信号包括：突然要求提供登录凭据或付款、发件人地址与其声称所属的组织不一致、措辞异常、附件可疑，以及链接指向陌生或拼写相近但存在错误的域名。
不过，文笔流畅、内容专业已经不能作为判断信息真实性的可靠依据。攻击者如今可以快速制作具有高度迷惑性的消息和仿冒网站。对于涉及敏感信息的请求，用户应通过其他独立且可信的渠道进行核实，而不应仅依赖消息本身。
网络钓鱼攻击成功后可能会造成什么后果？
成功的网络钓鱼攻击可能导致登录凭据、财务信息、机密文件或身份验证码泄露。攻击者可能利用这些访问权限接管账户、窃取数据、实施欺诈性支付，或进一步深入组织内部网络。
网络钓鱼也可能成为投放恶意软件和勒索软件的初始途径。一旦登录凭据遭到泄露，攻击者可能使用自动化工具在更多服务中尝试这些凭据，尤其是在用户重复使用相同密码的情况下。
如何预防网络钓鱼攻击
组织应采用多层防护措施，而不能仅依赖单一过滤机制或员工培训计划。电子邮件身份验证和过滤技术可以减少恶意邮件，而员工安全意识培训则有助于用户识别可疑请求。
多因素身份验证（MFA）能够在密码被盗后增加一道重要的安全屏障。组织还应强制使用唯一密码、限制不必要的访问权限、监控异常登录行为、及时更新软件，并通过第二个独立渠道核实高风险的付款请求或账户变更请求。
零信任访问策略还可以在授予敏感应用程序访问权限之前，持续评估用户身份、设备安全状态、行为和上下文，从而进一步降低凭据被盗所造成的影响。
CDNetworks 如何帮助防御网络钓鱼攻击
网络钓鱼可能通过电子邮件、短信、语音、社交媒体或恶意网站发起，因此，没有任何一种 Web 安全产品能够阻止所有网络钓鱼攻击。CDNetworks 更适合作为多层防御体系的一部分，帮助组织降低攻击暴露面，并限制攻击者在凭据被盗后能够执行的操作。
CDNetworks Enterprise Secure Access将零信任原则应用于企业应用程序访问控制。它会评估用户身份、设备安全状态、用户行为和威胁情报，并在检测到风险时动态调整访问权限。这有助于降低仅凭被盗凭据就能够不受限制地访问敏感系统的可能性。
对于面向公众开放的应用程序和 API，CDNetworks Cloud Security 2.0集成了 WAF、DDoS 防护、Bot 管理和 API 安全功能。CDNetworks Bot Shield可通过行为分析、设备指纹、速率限制和可配置的验证机制，识别并缓解撞库和账户接管尝试等恶意自动化活动。
结合电子邮件安全、MFA、员工安全意识以及完善的身份安全控制措施，这些能力可以帮助组织构建更具韧性的防御体系，以应对网络钓鱼可能引发的更广泛攻击链。
