YH雲禾財經教學

網路釣魚

對許多人來說，聖誕節和新年等節日是購物和花錢的季節。

但在網路犯罪分子眼裡則有別的意思 – 他們認為這是進行網路釣魚偷竊個資的黃金季節。

請參考你愛的聖誕禮物,網路釣客也愛~年底十大網路釣魚最愛購物頁面 。

網路釣魚通常是指企圖透過電子郵件、通訊軟體來獲得你個人資訊以竊取你的身份認證。

大多數網路釣魚會企圖讓自己看起來像是一般行為，實際上卻是用於犯罪活動。

它們看起來就像是來自銀行、信用卡公司、信譽良好的公私立機構的正式通知，通常在訊息中會夾帶惡意連結，引導收件者至看起來與官方極為相似的山寨網站，要求提供帳號密碼等資訊。

網路釣魚（Phishing）的起源 

網路釣魚（Phishing）的起源可回溯至 1970 年代的飛客 (phreaking) 入侵手法，這種手法利用簡單的兒童玩具哨子就能非法使用電話系統，至今依然惡名昭彰。

網路釣魚延續了電話飛客手法的傳統，同樣都是爲獲取實質利益而將專業技術用於不正當的用途。

駭客John Draper，當年他利用一個 Cap’n Crunch 玉米片盒中附贈的塑膠玩具哨子，加上自己設計的「藍色小盒子」，就能免費打電話。這個傳說中的哨子能製造出核e準通話的 2600 Hz 音頻。他最後因爲這種盜打長途電話的行爲而入獄。這個免費的玩具，竟然在eBay 高價拍賣，價錢曾經高達台幣 2248 元。

網路釣魚 (phishing)這個全球通用的電腦名詞，即是源自「phreak飛客」和「fishing釣魚」的結合。

駭客鑒於最早的「phreak飛客」前輩是用電話線作案，所以用發音相同的“Ph”來取代”“f ”,老是喜歡用匿名的駭客，於是給這種犯罪手法取名爲「Phishing」。

附錄影片:https://www.youtube.com/watch?time_continue=108&v=QTrTNR5QYeo

加密勒索軟體 Ransomware (勒索病毒/綁架病毒)最大宗的攻擊方式:網路釣魚信件

加密勒索軟體 Ransomware (勒索病毒/綁架病毒)最大宗的攻擊方式是透過網路釣魚信件,只要開啟陌生人寄來的信件即可能中標！

不過這種電子郵件可能會冒用朋友、同事、政府機關的身分寄送，而附件也可能偽裝圖示，假裝是Word文件等常見檔案，實際上卻是有問題的可執行檔一封冒稱健保局的「二代健保補充保險費扣繳辦法說明」，導致萬筆中小企業個資遭竊，登上媒體版面。

報導指出史上最大 美政府400萬筆個資遭竊;可能導因於駭客將病毒電郵偽裝成同事間電郵，誘使收件人開啟；無獨有偶 員工誤開有毒郵件，日本國民年金機構外洩125萬筆個資！

日本國民年金機構對外證實，由於職員使用電腦時開啟含病毒的電子郵件，導致機關內保存的國民年金相關個資外洩，目前已確定有125萬筆國民個資外洩。

最近大舉入侵台灣的勒索軟體Ransomware 也經常使用類似的社交工程（socialengineering ）信件的手法,達到綁架電腦的目的。

比如趨勢科技部落格報導過的這篇 勒索軟體假冒 Chrome,Facebook 和 PayPal發網路釣魚電子郵件,或是以下資安漫畫所提供的”假鎖定帳號,真勒索”的真實案例。

網路釣魚是一種網路攻擊，是指具有惡意動機的攻擊者偽裝成信譽良好的企業以欺騙人們並收集其信用卡詳細信息、用戶名或密碼等敏感信息的一系列行為。

由於網路釣魚涉及心理操縱並依賴於人為失誤（而不是硬件或軟件漏洞），因此被認定為是一種社會工程攻擊。

通常，網路釣魚攻擊會利用欺詐性電子郵件誘使用戶在欺詐性網站中輸入敏感信息。

這些電子郵件通常會通過要求用戶重置密碼或確認信用卡信息，致使他們登入與原始網站非常相似的虛假網站。

網路釣魚的主要類型是複制式網路釣魚、魚叉式網路釣魚和域欺騙。

網路釣魚攻擊也存在於加密貨幣的生態系統中，在這種環境下，惡意行為者試圖從用戶那裡竊取比特幣或其他數字貨幣。

舉例來說，攻擊者可以偽造一個網站，將錢包地址改為他自己的，從而讓用戶以為他們進行的是合法的付費服務，而事實上，攻擊者正在竊取他們的財產。

網路釣魚分為哪些類型？

網路釣魚通常根據目標和攻擊媒介分為許多不同的類型。在此我們舉一些常見的例子。

複製式網路釣魚：攻擊者使用一封已發出的合法電子郵件，複製出一封含有惡意網站鏈接的類似郵件之後，攻擊者可以聲稱這是一個更新過的或全新的鏈接，而舊的鏈接已經過期。

魚叉式網路釣魚：這種類型集中攻擊一個人或機構——通常是知名的。

魚叉式攻擊由於需要偽裝身份，所以比其他網路釣魚類型更加複雜。

攻擊者首先要收集有關受害者的信息（例如，朋友或家庭成員的姓名），然後根據此數據構建一條消息，主要用來引導受害者訪問惡意網站或下載惡意文件。

網域欺騙：攻擊者會破壞DNS記錄，將合法網站的訪客引至攻擊者事先布好的欺詐網站。

這是上述類型中最危險的攻擊，由於DNS記錄不在用戶的控制之內，因此用戶無法防範。

鯨釣：一種針對富人和重要人士——例如CEO和政府官員——的魚叉式網路釣魚。

電子郵件欺騙：用於網路釣魚的電子郵件通常會偽造與合法公司或人員的通信。

此類郵件會向不知情的受害者提供惡意網站的鏈接，（點擊後）攻擊者可以通過使用巧妙偽裝好的登錄頁面來收集登錄信息和PII。

這些頁面可能包含特洛伊木馬、鍵盤記錄程序以及其他竊取個人信息的惡意腳本。

網站跳轉：網站跳轉將用戶引至不同於原本網址的URL。

利用網站漏洞的攻擊者會植入跳轉（功能）並將惡意軟件安裝到用戶的計算機上。

註冊近似域名：註冊近似域名的釣魚手段是將流量引導到使用外文、具有常見拼寫錯誤、

或是使用稍微變換的頂級域名的偽造網站。

網路釣魚者用域來模仿合法網站的界面，從而欺騙輸錯或誤讀URL的用戶。

“水坑”：在水坑攻擊中，網路釣魚者先對用戶進行分析並找出他們經常訪問的網站，然後掃描這些網站以檢查是否存在漏洞，並儘可能針對下次訪問植入設計好的惡意腳本。

冒名頂替與免費贈品：冒充社交媒體上有影響力的人物是網路釣魚中的另一種伎倆。

網路釣魚者會冒充公司的主要領導者，並且針對他們的受眾宣傳贈品或實施其他的騙局。（網路釣魚者）甚至可以通過社會工程尋找容易上當的用戶，從而單獨定位這種騙局的受害者。“演員”們可以破解認證用戶（的登錄信息）並修改用戶名以冒充真人，同時保證認證良好的狀態。

受害者更有可能與看似有影響力的人物互動並提供PII，為網路釣魚者創造可利用其信息的機會。

近來，網路釣魚者出於同樣的目的集中針對Slack，Discord和Telegram這樣的平台，來使用聊天行騙、冒充別人、以及偽裝合法服務等手段來進行釣魚攻擊。

廣告：付費廣告是應用於網路釣魚中的另一種策略。

這些（虛假）廣告使用"註冊近似域名"並付費將其推送到搜索結果。

這些網站甚至可能成為搜索合法公司或服務（如幣安）後得到的的熱門搜索結果。

它們通常被用作網路釣魚獲取敏感信息的手段，其中可能包括你交易帳戶的登錄信息。

惡意應用程序：網路釣魚者還可能將惡意應用程序用作植入惡意軟件的載體，

以監控你的行為或竊取敏感信息。他們可能把應用程序偽裝成價格跟踪軟件、

錢包、和其他與加密貨幣相關的工具（已有一些傾向於交易和持有加密貨幣的用戶群）。

短信及語音釣魚：短信釣魚，一種基於短信的網路釣魚形式，以及語音釣魚，

基於語音或電話等效的釣魚形式，是攻擊者試圖獲取個人信息的其他方式。

網路釣魚與域欺騙

儘管有些人將域欺騙視為一種網路釣魚攻擊，但它依賴於一種不同的機制。

網路釣魚和域欺騙之間的主要區別在於，在網路釣魚攻擊中。

受害人必須自己做出錯誤的行為，而域欺騙只需要受害者嘗試訪問一個DNS記錄被攻擊者成功攻擊的合法網站。

如何防止網路釣魚？

保持警惕：對網路釣魚的最佳防禦方法是對收到的電子郵件進行判斷和審查。

你是否本應從發件人處收到關於此主題的電子郵件？你是否懷疑此人正在向你索要與他業務無關的信息？

如果存在上述疑問，請試圖通過其他方式與發件人聯繫。

檢查内容：你可以在搜索引擎上輸入部分内容（或寄件人的電子郵件地址），以檢查是否有使用該方法的網路釣魚攻擊紀錄。

嘗試其他方法：如果你認為你收到了一個合法請求以確認熟悉業務的帳戶信息，請嘗試通過不同方式執行此操作，不要點擊電子郵件中的連結。

檢查URL：將鼠標移動到連結上，不要點擊，檢查一下這個連結是否以HTTPS開頭而非HTTP。

但請注意，僅僅檢查開頭並不能保證網站是可靠的。仔细檢查網址裡是否存在拼寫錯誤、特殊字符和其他不尋常之處。

不要分享你的私鑰：永遠不要把你的比特幣錢包的私鑰给别人，並警惕地判斷你要给的任何加密貨幣的產品和賣家是否合法。與信用卡相比，處理加密的不同之處在於，如果您從未收到约定的商品或服務，那麼政府不會對收费提出異議。

這就是為什麼在處理加密貨幣交易時必须特别小心的原因。

結論

網路釣魚是最廣泛和最常見的網路攻擊技術之一。

雖然主流服務的電子郵件過濾軟件可以有效地過濾虛假消息而留下真正的郵件，但仍需小心保持好最後一道防線。

警惕任何試圖從你那裡獲取敏感或私人信息的行為。

如果可能的話，通過發送方和請求是合法的渠道來確認信息。

避免在電子郵件中點擊有關安全事件的鏈接，並根據自己的方式轉到該網頁，同時也要注意URL開頭的HTTPS是否正確。最後，對於加密貨幣交易要特別小心，因為在商戶堅持到交易結束的情況下，無法逆轉這些交易。

永遠保持你的私鑰和密碼的私密性，不要輕易相信任何信息。

用於交易所操作請使用單獨電腦、筆電、網路、單獨驗證信箱，只做交易不做瀏覽網站、影音、收普通郵件信箱的E-MAIL。

      ​

你有以下的困擾嗎？ 

(1)正在了解幣圈，想做比特幣，以太幣等主流幣種。

(2)不知虧損的原因？怎麼獲利？想回本。

(3)想做數字貨幣，不知道應投多少資金才能做，怕資金不夠。

(4)目前處於虧損狀態，有點迷茫，需要老師指導。

(5)單子總是被套，想找個老師引導解套。

更多其它問題，請加官方LINE好友諮詢   https://lin.ee/kP6rtkX。