網絡釣魚：用戶墮落的原因以及騙子們犯的錯誤

不少專家繼續宣稱，在網絡安全方面，“人類是最薄弱的環節”。你可以說它比這更多，但在很大程度上，這種說法是正確的。通常，即使是複雜的，準備充分的網絡釣魚攻擊也會失敗，因為用戶設法將手指遠離鼠標按鈕。

問題是，培訓人們避免打開通過電子郵件到達的鏈接和文件比聽起來更困難。事實上，像KnowBe4這樣的公司專注於這樣做。為了改進他們的培訓計劃，KnowBe4一直試圖找出哪些網絡釣魚電子郵件主題欺騙了最多的受害者，他們一直在密切關注數據。上週，他們公佈了2018年第三季度的統計數據。

網絡釣魚者的策略和用戶的弱點

KnowBe4匯總了兩個列表：一個用於在網絡釣魚模擬期間最常點擊的電子郵件主題，另一個用於最常報告的在線釣魚郵件主題。

以下是網絡釣魚培訓計劃中用戶最多的情況：

1. 需要立即進行密碼檢查
2. 你有一個新的語音郵件
3. 您的訂單即將開始
4. 立即需要更改密碼
5. 在進程中取消激活[[email]]
6. UPS標籤交付1ZBE312TNY00015011
7. 修改假期和病假時間政策
8. 您已收到簽名文件
9. 垃圾郵件通知：1條新郵件

以下是KnowBe4客戶報告為網絡釣魚的電子郵件的主題：

1. 您有一條新的加密郵件
2. IT：同步錯誤 - 返回的傳入消息
3. HR：聯繫信息
4. 聯邦快遞：對不起，我們想念你。
5. Microsoft：多次登錄嘗試
6. IT：重要 - 新的服務器備份
7. 富國銀行：您的信用卡檢測到非正常活動
8. LinkedIn：您的帳戶面臨風險！
9. Microsoft / Office 365：[提醒]：您的安全郵件
10. Coinbase：您的加密貨幣錢包：雙因素設置已更改

擁有這兩個單獨的列表可以讓我們更好地了解情況的嚴重性。第一個主題集合準確地告訴我們在潛在攻擊期間哪種社會工程往往是有效的。第二個列表給了我們諺語硬幣的另一面。它顯示了用戶捕獲的真實攻擊。

對安全的緊迫性和威脅仍然有效

在第三季度，用戶似乎最願意點擊“立即密碼檢查”消息。看看舊報告，我們可以看到這個特定的主題已經進入前10名，並且其排名穩步提升，這可能與我們看到越來越多的事件圍繞著被攻擊的事實有關。密碼。

再往下，您有類似的“立即更改密碼”主題，這表明如果您欺騙用戶認為他們正在保護他們的數據，他們更有可能暴露它. 諷刺的是，如果你不採取行動，通過結合緊迫感和對嚴重安全問題的承諾，騙子可以創造一個相當強大的社會工程武器。當一個組織遭到入侵時，除了要求其用戶更改其密碼之外，別無選擇。

問題是，遵循最佳安全實踐的負責任組織不會發送帶有登錄表單鏈接的電子郵件。有些人這樣做，但僅僅因為你的收件箱中有鏈接並不意味著你需要點擊它。如果您認為該電子郵件是正版，則最好打開一個新選項卡，轉到受影響的網站，登錄並手動導航到密碼重置部分。如果您對任何事情都不確定，請嘗試使用官方網站上列出的溝通渠道與供應商取得聯繫。如果電子郵件確實是一個騙局，那麼您的警惕可能會最終挽救其他人。

第一個列表中的其他主題沒有相同的即將到來的元素，但他們仍然鼓勵用戶匆忙做某事或者戲弄他們的好奇心。顯然，這並不總是有效。

騙子也犯了錯誤

從理論上講，與第一個列表中的條目相比，第二個列表中的條目或多或少具有相同的特徵，但是，用戶實際上設法發現了某些不對勁並將其報告給雇主的IT部門。在某些情況下，不難看出原因。

例如，如果您的信用卡是由Chase發行的，那麼您不太可能收到一條消息“Wells Fargo：您的信用卡上檢測到不正常的活動”。在其他情況下，我們只能假設網絡釣魚攻擊執行得不是很好。

無論如何，越來越多的用戶似乎能夠從小麥中分類出一些糠，這是個好消息。儘管如此，我們距離準備抵御所有網絡釣魚攻擊還有很長的路要走。事實上，我們永遠不會有機會，所以重要的是要把你在互聯網上看到的所有內容，包括收件箱的內容，帶來大量的鹽。