全面解析网络安全新威胁 “网络钓鱼”式攻击
作者：
什么是网络钓鱼？
网络钓鱼（Phishing）一词，是“Fishing”和“Phone”的综合体，由于黑客始祖起初是以电话作案，所以用“Ph”来取代“F”，创造了”Phishing”。
“网络钓鱼”攻击利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，受骗者往往会泄露自己的财务数据，如信用卡号、账户用户名、口令和社保编号等内容。诈骗者通常会将自己伪装成知名银行、在线零售商和信用卡公司等可信的品牌，在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局做出响应。
在美国和英国已经开始出现专门反网络钓鱼的组织，越来越多在线企业、技术公司、安全机构加入到反“网络钓鱼”组织的行列，比如微软、戴尔都宣布设立专案分析师或推出用户教育计划，微软还捐出4.6万美元的软件，协助防治“网络钓鱼”。
用户自卫指南
一、普通消费者：
安全专家提示：最好的自我保护方式是不需要多少技术的。
1. 对要求重新输入账号信息，否则将停掉信用卡账号之类的邮件不予理睬。
2. 更重要的是，不要回复或者点击邮件的链接——如果你想核实电子邮件的信息，使用电话，而非鼠标；若想访问某个公司的网站，使用浏览器直接访问，而非点击邮件中的链接。
3. 留意网址——多数合法网站的网址相对较短，通常以.com或者.gov结尾，仿冒网站的地址通常较长，只是在其中包括合法的企业名字（甚至根本不包含）。
4. 避免开启来路不明的电子邮件及文件，安装杀毒软件并及时升级病毒知识库和操作系统补丁，将敏感信息输入隐私保护，打开个人防火墙。
5. 使用网络银行时，选择使用网络凭证及约定账户方式进行转账交易，不要在网吧、公用计算机上和不明的地下网站做在线交易或转账。
6. 大部分的“网络钓鱼”信件是使用英文，除非你在国外申请该服务，不然应该都收到中文信件。
7. 将可疑软件转发给网络安全机构。
最后提醒一句，不幸中招者最好尽快更换密码和取消信用卡。
二、商业机构
1. 为避免被“网络钓鱼”冒名，最重要的是加大制作网站的难度。具体办法包括：“不使用弹出式广告”、“不隐藏地址栏”、“不使用框架”等。这种防范是必不可少的，因为一旦网站名称被“网络钓鱼”者利用的话，企业也会被卷进去，所以应该在泛滥前做好准备。
2. 加强用户验证手段，提高用户安全意识。
3. 及时处理用户反馈，积极打击假冒网站和其他相关的违法行为。客户中心对类似“为什么每次登陆都得输入两次账号和密码？”之类的投诉，就要想到是否有“网络钓鱼”的可能，因为“网络钓鱼”者通常“劫持”第一次数据，而用户再一次登陆才进入了真正的页面。
4. 当然，安装杀毒软件和防火墙、及时升级、打补丁、加强员工安全意识、与安全厂商保持密切联系等都是必不可少的。
最后也要提醒一句，一旦出现被仿冒的情景，首先企业应该把诈骗网页取下来。有些时候，这并不是一件简单、快捷的工作。
应对篇
步骤1：教育
在美国《网络世界》所做的采访中，任何一家大型在线企业都将“对用户进行适当教育”放在应对“网络钓鱼”举措之首。花旗银行在主页的底部设有一个明显链接，以提醒用户注意有关电子邮件诈骗的问题。
何公道说：“网络钓鱼”也是“愿者上钩”，之所以不断发生，就是人们防范观念淡薄。如果大家的安全意识永远只停留在现在的话，那么“网络钓鱼”事件一定会越来越多。王红阳说：用户安全意识的提高能降低“网络钓鱼”的风险，严格执行的安全策略、良好的安全习惯、安全技术的提高，可以大幅度减少“网络钓鱼”成功的几率。
但是记者在完成这篇稿子之前，浏览了不少国内商业网站，并没有发现关于“网络钓鱼”甚至是关于安全方面的显著提示，当然也没有看到一些验证手段。
在美国和英国已经开始出现专门反网络钓鱼的组织，比如去年11月成立的APWG和今年6月成立的“Trusted Electronic Communications Forum（TECF）”，它们致力于教育用户的目的是终止——至少是降低“网络钓鱼”的攻击。
步骤2：验证
除了教育外，在线品牌还应当通过简单、易用的方式对合法的电子邮件进行验证。常被人冒充的eBay发出警告称，即使发信人写的是“support@ebay.com”和“billing@ebay.com”等内容，也不见得就是来自eBay的邮件。
因为“网络钓鱼”也是一种垃圾邮件，所以人们可以运用相同的垃圾邮件处理工具对网页和电子邮件进行过滤。趋势科技将推出IWSS 2.0，包含名为PhishTrap的反钓鱼技术，利用诈编网站特征数据库来过滤电子邮件。
此外，银行在发出的电子邮件里启用了数位电子签名，现在技术的发展，让“验明正身”更加简单，一旦网络钓鱼者试图伪造一个数字签名，收件人就会收到一条警告信息。当然，用户必须学会识别电子签名。
远期的全球验证项目包括发送者策略框架（Sender Policy Framework）、Yahoo DomainKeys建议和微软的Caller-ID。但是，这些方法要想完善起来尚需时日，而且需要得到在线企业的100%完全认同。
步骤3：确认
Web站点也需要利用某些确认机制来证明自己的合法性。因此，专业身份确认企业CoreStreet最近在其Web站点上贴出一种被称为Spoofstick的免费浏览器助手。当用户在合法的站点，请注意在URL框的下方会出现一个明显的注释，并显示“You're on ebay.com。”如果用户被骗到了一个伪造的站点，该注释便会显示“You're on 10.19.32.4。”
eBay已经为它的工具栏添加了一项新的服务，称为账户保镖。这项服务可以告诉用户是否处于eBay和PayPal的合法站点上。如果当用户将eBay的口令输入到未经确认的网站上时，eBay还会进一步向用户发出警告信。
步骤4：阻断
有些ISP还可以阻止用户被引导到名声不好的Web站点上。例如，当AOL的客户报告自己收到了垃圾邮件，那么包含在这封垃圾邮件中的链接都将被添加到一个受阻站点列表中。当用户点击这些链接，它们显示出的都是错误页面。但这一技术也有可能阻断那些提供真正商业服务的合法链接。
美国EarthLink于4月19日推出了具有防止“网络钓鱼”功能的工具条，当用户试图访问确认的诈骗网站，该工具条将会发出警告，并且将用户重定向到EarthLink公司的WWW网页。而以防堵网站存取起家的Websense，也将“网络钓鱼”或恶意网站列入防堵项目之一。
步骤5：监视
EarthLink还使用一种服务。当有人注册与自己公司类似的品牌时，该服务便会发出警告。目的是确认该网站是否会通过‘网络钓鱼'的方式冒充EarthLink。”
美国万事达国际信用卡公司和NameProtect公司6月21日宣布为打击“网络钓鱼”建立合作关系，利用NameProtect实时检测网上犯罪的技术，监视域名、Web网页、公告板以及垃圾邮件等。监视可以使受害者的数量大幅度减少。
认识篇
手段：威逼利诱
“网络钓鱼”利用欺骗性的电子邮件和伪造的Web站点来进行诈骗活动，受骗者往往会泄露自己的财务数据，如信用卡号、账户用户名、口令和社保编号等内容。
“网络钓鱼”的主要伎俩在于仿冒某些公司的网站或电子邮件，然后对其中的程序代码动手脚，如果使用者信以为真地按其链接和要求填入个人重要资料，资料将被传送到诈骗者手中。
趋势科技“PhishTrap（反网络钓鱼陷阱）”成员 Richard_Cheng 解释说：“当这些网络诈骗者将饵 (电子邮件) 撒到互联网之后，就静待受骗者上钩。”根据Gartner的统计，由于诈骗者通常会将自己伪装成知名银行、在线零售商和信用卡公司等可信的品牌，所以在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局作出响应。
诈骗者通常采用“威逼利诱”手段制造出各种名目的“主题”。比如最早引起广泛关注的“网络钓鱼”事件，是去年11月出现的Mimail.J病毒，伪装成由Paypal网站寄出的信息，表示收件者的账户将在5个工作日后失效，要求用户更新个人信息，才能重新启动账户。再比如7月20日，一恶意网站伪装成联想主页，前者将数字1取代英文字母L，利用多种IE漏洞种植木马病毒，并散布“联想集团和腾讯公司联合赠送QQ币”的虚假消息，诱使更多用户访问该网站时造成感染。
现状：上钩者众
最近一年以来，“网络钓鱼”在美、英等国家变得非常猖獗,数量急剧攀升。据Gartner公司最近的一项调查表明，有5700万美国消费者收到过此类仿冒的电子邮件，由此引起的ID欺诈盗窃给美国银行与信用卡公司的用户造成的直接损失在去年达到了12亿美元。
垃圾邮件过滤公司Brightmail的数据表明，过去9个月中，全球Phishing邮件总量增长迅猛，于今年4月达到31亿封。据英国安全机构MI2G报告，去年，有250多起针对主要银行、信用卡公司、电子商务站点以及政府机构的“网络钓鱼”攻击。
根据反网络钓鱼组织 APWG（Anti-Phishing Working Group）最新统计指出，约有70.8％的网络欺诈是针对金融机构而来，而最常被仿冒的前三家公司为：Citibank（花旗银行）、eBay和Paypal。
后果：诚信危机
Gartner公司高级副总裁和研究董事Litan说：“金融机构、互联网服务提供商和其他服务商必须严肃地解决‘网络钓鱼'问题，如果不能极大地减少这种诱饵攻击，那么消费者对在线交易的信任感将会逐渐被侵蚀，最终所有网络交易的参加者都会受到伤害。”
APWG主席David Jevans表示：“这些攻击正在破坏整个电子商务系统—我们经营方式的信用。”的确，eBay和其他几十家已遭“网络钓鱼”多次攻击的公司担心：它不仅损害了业务，而且对客户、对电子商务的信心提出了极大挑战。
“网络钓鱼”已经开始显现出其巨大的破坏力。根据Pew Internet Life的调查，消费者对电子邮件的信心已经降到了有史以来的最低点。Cyota最近针对在线银行账户持有者的一项调查表明，74%的被调查者表示，由于此项威胁，自己不太可能对来自银行的电子邮件做出回复，而且进行在线购物的可能性降低了。这意味着，一些合法商业机构如果无法阻止其品牌被欺骗活动继续利用，其在线渠道将可能部分或者彻底失去。
当然受损的还有商业机构的品牌。MI2G执行总裁DK Matai指出：“虽然在很多情况下，品牌所有者并没有错，但这些在线品牌应当具备足够的能力，并用更多的心思来防止消费者犯错误。” APWG旗下一个企业成员因“网络钓鱼”遭到客户起诉，理由是没有履行相应责任。
除了信任，“网络钓鱼”也会给企业和个人带来一些更直接的损失。如果诈骗者钓到用户的信用卡账户信息，无论对于持卡者还是销售商都面临着风险。另外，为每个用户发行新的信用卡、账号和密码大约需要50多美元，如果是大量客户被钓，成本也是非常惊人的。
警惕：真伪难辨
这些欺骗性的电子邮件和Web站点，正看起来越来越“完美”，也越来越“可信”。
信息加密公司PostX首席技术官Cayce Ullman说：“我们遇到一个利用eBay品牌进行诈骗的‘网络钓鱼'者，我用了整整25分钟才确定他是真正的骗子。连我们也很难分清真假，那我们的消费者又如何来区分呢？”其中最令安全专家忧心的是，“网络钓鱼”者使用 javascript 将浏览器网址所显示的地址换掉，让呈现出来的网址与假冒公司的官方网址完全相同。
绿盟科技专业服务部总监王红阳说：“浏览器自身的脆弱性也在一定程度上增加了迷惑性。”他建议，用户可以使用其他的浏览器来降低风险。
趋势科技中国区技术顾问齐军的建议：如果是这种情况就一定要用反网络钓鱼（anti-phishing）工具来防范，因为眼睛看到的是正确网址，但工具看到的才是真正机器码。他提供一个“一劳永逸的方法”，就是永远不要从电子邮件的链接直接连出去。
令普通用户头疼的是，“网络钓鱼”要达到广泛诈骗的目的，通常都伴随着病毒和木马，或者说病毒邮件、木马也经常包含“网络钓鱼”的内容。