CTI論壇(ctiforum.com)（編譯/老秦）： 網(wǎng)絡(luò )釣魚(yú)是一個(gè)代價(jià)高昂的陷阱，生產(chǎn)力損失的間接成本從 2015 年的 180 萬(wàn)美元激增至 2021 年平均每家公司的 320 萬(wàn)美元。這使得它成為一個(gè)值得關(guān)注的突出攻擊，因為公司正在成為網(wǎng)絡(luò )釣魚(yú)攻擊的受害者，并且日趨嚴重。
最近，通信巨頭Twilio證實(shí)，黑客通過(guò)網(wǎng)絡(luò )釣魚(yú)攻擊成功誘騙員工交出公司登錄憑據，從而訪(fǎng)問(wèn)了客戶(hù)數據。
該攻擊使用聲稱(chēng)來(lái)自Twilio的 IT 部門(mén)的 SMS 網(wǎng)絡(luò )釣魚(yú)消息，暗示員工的密碼已過(guò)期或他們的日程安排已更改，并建議目標使用攻擊者控制的欺騙性網(wǎng)址登錄。
Twilio表示，攻擊者發(fā)送這些消息看起來(lái)是合法的，包括"Okta"和"SSO"等詞，指的是單點(diǎn)登錄，許多公司使用單點(diǎn)登錄來(lái)保護對其內部應用程序的訪(fǎng)問(wèn)。（Okta本身在今年早些時(shí)候也受到了攻擊，黑客可以訪(fǎng)問(wèn)其內部系統。）
總體而言，由于 COVID-19 大流行，網(wǎng)絡(luò )犯罪（包括從盜竊或挪用公款到數據黑客攻擊和破壞等方方面面）增加了 600%。隨著(zhù)數量的增加，網(wǎng)絡(luò )犯罪的嚴重程度也在上升，漏洞和黑客攻擊對于當今的公司來(lái)說(shuō)是至關(guān)重要的，甚至是致命的傷害。 Cybersecurity Ventures 預計，未來(lái)五年全球網(wǎng)絡(luò )犯罪成本將以每年 15% 的速度增長(cháng)，到 2025 年將達到每年 10.5 萬(wàn)億美元，高于 2015 年的 3 萬(wàn)億美元。
各種類(lèi)型的攻擊都在上升。福布斯顧問(wèn)最近的一項研究使用了 FBI 互聯(lián)網(wǎng)犯罪投訴中心 (IC3) 過(guò)去五年的數據，發(fā)現當將十大最常見(jiàn)的違規方法加起來(lái)時(shí)，已發(fā)生超過(guò) 160 萬(wàn)起違規行為。勒索、個(gè)人數據泄露和身份盜竊等攻擊的數量和損失都在增長(cháng)。
"在所有類(lèi)型的網(wǎng)絡(luò )攻擊中，各種規模的組織都必須格外警惕的一種是網(wǎng)絡(luò )釣魚(yú)攻擊。"DefensX的創(chuàng )始人兼首席執行官 Osman Erkan說(shuō)："網(wǎng)絡(luò )釣魚(yú)攻擊是發(fā)送看似來(lái)自可靠來(lái)源的欺詐性通信的做法，通常通過(guò)電子郵件進(jìn)行，但也可以通過(guò)短信進(jìn)行。這些攻擊的目標是竊取信用卡和登錄信息等敏感數據，或在受害者的機器上安裝惡意軟件。從那里，攻擊者可以幫助訪(fǎng)問(wèn)您的在線(xiàn)帳戶(hù)和個(gè)人數據，獲得修改和破壞連接系統的權限，例如銷(xiāo)售點(diǎn)終端和訂單處理系統--在某些情況下劫持整個(gè)計算機網(wǎng)絡(luò )，直到支付贖金。"
網(wǎng)絡(luò )犯罪分子通常使用網(wǎng)絡(luò )釣魚(yú)作為攻擊，利用組織的最后一道網(wǎng)絡(luò )防御--員工--Erkan說(shuō)，他是世界頂級網(wǎng)絡(luò )安全專(zhuān)家之一。
"攻擊始于旨在引誘受害者的欺詐性電子郵件或其他通信，其消息看起來(lái)好像來(lái)自受信任的發(fā)件人，"Erkan說(shuō)。"如果它欺騙了受害者，他或她就會(huì )被誘騙提供機密信息--通常是在詐騙網(wǎng)站上，或者有時(shí)惡意軟件也會(huì )下載到目標的計算機上。有新的方法可以保護組織免受這些日益危險的威脅，我們正在盡我們所能來(lái)啟發(fā)領(lǐng)導者，有解決可能導致與合規相關(guān)的罰款，甚至更糟糕的是，他們的業(yè)務(wù)滅絕的問(wèn)題的解決方案。"
Twilio表示，自攻擊以來(lái)，它已撤銷(xiāo)對受感染員工賬戶(hù)的訪(fǎng)問(wèn)權限，并增加了安全培訓，以確保員工對社會(huì )工程攻擊保持"高度警惕"。他們并不是當今唯一試圖加強網(wǎng)絡(luò )安全的公司，因為 54% 的公司表示，他們的 IT 部門(mén)目前還不夠成熟，無(wú)法應對高級網(wǎng)絡(luò )攻擊。許多企業(yè)現在正在尋找解決方案和協(xié)議來(lái)幫助阻止潛在的網(wǎng)絡(luò )釣魚(yú)攻擊。
"以'永不信任，始終驗證'為原則的零信任解決方案在今天是賭注，"Erkan解釋說(shuō)。"有了這個(gè)，所有實(shí)體在這個(gè)范式中都被認為是不可信的，除非通過(guò)身份驗證/授權證明不是這樣。"
盡管網(wǎng)絡(luò )安全需求的增長(cháng)主要是在過(guò)去十年內，但零信任已經(jīng)經(jīng)歷了大幅增長(cháng)。 2020 年全球零信任證券市場(chǎng)規模為 198 億美元，預計 2021 年至 2028 年的復合年增長(cháng)率 (CAGR) 為 15.2%。快速增長(cháng)可歸因于零信任可以提供在防御網(wǎng)絡(luò )釣魚(yú)攻擊時(shí)的好處。
"通過(guò)在他們的電子郵件服務(wù)器/服務(wù)/移動(dòng)設備中實(shí)施零信任，組織可以更好地保護他們的用戶(hù)免受網(wǎng)絡(luò )釣魚(yú)攻擊，"Erkan說(shuō)。"許多現有的反網(wǎng)絡(luò )釣魚(yú)產(chǎn)品嚴重依賴(lài)只能檢測/隔離已知威脅的阻止列表和過(guò)濾器。基于零信任的創(chuàng )新將阻止來(lái)自未經(jīng)授權的收件人的任何電子郵件，并分析電子郵件內容以查找更常見(jiàn)/已知的威脅，但對于掌握了社會(huì )工程藝術(shù)的資金充足且盈利的企業(yè)而言，這還不夠。為每位員工提供經(jīng)過(guò)驗證的工具來(lái)提醒他們注意危險消息并防止他們在意外點(diǎn)擊時(shí)與危險域進(jìn)行交互是非常重要的。小小的投資，就可以避免大災難。"
打擊網(wǎng)絡(luò )釣魚(yú)攻擊的另一種主要方法是簡(jiǎn)單地培訓員工如何發(fā)現攻擊，以及在出現違規情況時(shí)該怎么做。網(wǎng)絡(luò )釣魚(yú)利用員工的不知情，每天每人發(fā)送和接收大約 121 封商業(yè)電子郵件，很容易錯過(guò)跡象并成為網(wǎng)絡(luò )釣魚(yú)的受害者。
"在您的工作場(chǎng)所定期舉辦網(wǎng)絡(luò )釣魚(yú)意識培訓課程很重要，"Erkan說(shuō)，"但這可能會(huì )耗費時(shí)間并降低生產(chǎn)力，而且鑒于我們收到的電子郵件和短信數量龐大，這還不夠。這就是我們創(chuàng )建DefensX并不斷增強我們的平臺、解決方案和功能的原因。"
DefensX將傳統的網(wǎng)絡(luò )瀏覽器轉換為零信任的安全瀏覽器。零信任威脅防御技術(shù)通過(guò)隔離威脅到達端點(diǎn)設備（如臺式機、筆記本電腦、智能手機和平板電腦）來(lái)保護用戶(hù)免受高級網(wǎng)絡(luò )安全攻擊。
總體而言，隨著(zhù)技術(shù)的進(jìn)一步發(fā)展，網(wǎng)絡(luò )犯罪和黑客不會(huì )很快消失，網(wǎng)絡(luò )釣魚(yú)也不會(huì )。企業(yè)必須更加謹慎，因為黑客可能潛伏在每封電子郵件和 URL 后面。對于希望在數字時(shí)代繼續受到保護的公司來(lái)說(shuō)，零信任解決方案可以幫助加強防御，而充分的員工培訓和基于云的軟件解決方案可以幫助填補空白。
聲明：版權所有 非合作媒體謝絕轉載
作者：Matthew Vulpis
原文網(wǎng)址：https://www.techzone360.com/topics/techzone/articles/2022/08/09/453163-twilio-cyber-attack-social-engineering-real-really-dangerous.htm
