自從電子郵件被廣泛使用以來，基於電子郵件的攻擊一直是企業的主要攻擊手段。 雖然它最初是作為一種傳遞惡意軟件來破壞或破壞公司資產的方式，但攻擊者很快意識到還有更多的收穫。 當訪問憑證以及支付卡數據和有價值的 ID 數據觸手可及時，電子郵件攻擊演變為電子郵件網絡釣魚攻擊。
網絡釣魚的最佳定義是通過偽裝成潛在的合法電子郵件或電話來源，試圖從最終用戶那裡獲取信息或憑據的訪問權限。 電子郵件網絡釣魚攻擊通常通過模仿、欺騙或域名搶注來實現，以使電子郵件來源地址出現在 Microsoft 或 AWS 等合法來源。 攻擊者希望用戶單擊電子郵件中的鏈接並提供憑據或下載附加的惡意軟件。
惡意軟件的下載可以讓攻擊者在網絡中佔有一席之地，他們將繼續升級或轉向在網絡中移動，恕不另行通知。 一旦進入內部，攻擊者就可以獲得敏感信息或部署更邪惡的東西，例如勒索軟件。
電子郵件網絡釣魚又回來了
由於電子郵件網絡釣魚已經存在了一段時間，許多人認為它現在的威脅比以前小了。 反之亦然。 與網絡安全中的其他任何事情一樣，與電子郵件網絡釣魚的戰鬥是一場貓捉老鼠的遊戲，防御者幾乎總是對攻擊者做出反應。 隨著網絡安全團隊、工具和研究小組確定有助於保護組織的模式，攻擊者會轉向逃避防禦，提出新的攻擊方法。
近年來，網絡釣魚攻擊再次抬頭。 許多工具，包括 G-suite 和 O365，都提供資源來幫助降低網絡釣魚攻擊的風險。 這些工具非常擅長通過機器學習和群體知識來捕捉低技術、大規模的網絡釣魚活動，但它們並不是萬無一失的。 攻擊者變得更加老練，其技術可以逃避這些工具的初步檢測，讓員工站在前線保衛企業。 組織保護自己的唯一真正方法是確保最終用戶接受過充分的教育並密切關注每封傳入的電子郵件。
了解影響
隨著組織改善安全狀況和預防能力，攻擊者變得更難訪問。 正因為如此，攻擊者已經轉向利用網絡釣魚作為進入組織的主要模式。
根據 Ponemon 2021 網絡釣魚研究，自 5 年以來，組織的網絡釣魚平均成本增加了近 2015 倍。此外，在同一時間，員工的生產力損失增加了一倍。 生產力損失可能是由於憑據被鎖定、系統需要重新映像或用戶在調查期間無法工作。
最大的成本是恢復和重新部署受影響用戶的資產所需的工作，隨著員工轉移到更偏遠的位置，成本也會增加。
當安全意識不夠時
為了打擊電子郵件網絡釣魚詐騙，許多公司都進行了安全意識培訓，指導員工檢測和避免常見攻擊。 但其有效性的證據好壞參半。 調查顯示，許多員工沒有充分關注安全培訓課程。 此外，長時間的會話會滋生挫敗感，並與安全所需的方法產生負面聯繫。
研究表明，培訓必須簡短而定期才能有效。 由於網絡釣魚攻擊迅速提高，員工必須練習檢測最新的詐騙。 但即使這是眾所周知的，許多組織缺乏動力或預算來投資於降低整體風險所需的高水平意識培訓。
最好的防禦
電子郵件網絡釣魚的問題並沒有消失。 個人和公司如何保護自己免受網絡釣魚攻擊？ 最好的防禦遠非簡單的解決方案，而是多管齊下的方法。
首先，企業需要實施工具來幫助檢測和刪除從收件箱中輕鬆識別的網絡釣魚攻擊。 這種方法是有效的，因為它減少了人為錯誤的可能性。 即使缺乏安全培訓，如果一個組織永遠無法到達員工的收件箱，它也可以在攻擊中倖存下來。
下一步是為員工實施一個強有力的培訓和教育計劃，了解如何識別和報告網絡釣魚攻擊。 後者很關鍵，很容易被忽視。 擁有一個積極的反饋循環，以便組織可以審查失敗的網絡釣魚嘗試，可以幫助 IT 加強網絡在未來抵禦類似的攻擊。 員工安全培訓應包括演示和模擬實踐。
組織必須說明，模擬網絡釣魚培訓並不是要抓住個人，而是要幫助他們了解如何識別網絡釣魚並繼續磨練他們的安全技能。 最後，組織應尋求實施涉及監視用戶活動的其他響應工具和協議。
網絡釣魚的下一步是什麼？
隨著組織改進工具、預防和檢測能力，我們將繼續看到攻擊者的演變。 我們希望看到更多來自組織的低技術、霰彈槍式網絡釣魚活動，他們希望能夠通過檢測並僅抓到一個人。
然而，攻擊者更有可能轉向迎接新一波的戰術和技術。 這種演變現在正在發生。 越來越多的網絡釣魚攻擊通過 SMS 文本 (Smishing) 繞過公司控制。 根據網絡安全諮詢 網絡保證，我們還將看到更多地利用開源情報來模仿受信任的供應商，甚至損害供應商以允許對其客戶發起攻擊。
無論當前的攻擊趨勢如何，可以假設網絡釣魚仍將是攻擊者最大的初始攻擊媒介之一。
