謹防以假亂真的“釣魚郵件”

很多人對“網(wǎng)絡釣魚”這個詞并不陌生，簡單的說無非是黑客偽造鏈接或網(wǎng)頁，騙取用戶錢財或虛擬財產(chǎn)的手段?？删褪侨绱撕唵蔚墓羰址?，卻讓黑客屢屢得手，受害者更是不計其數(shù)，“釣魚攻擊”也一直排在網(wǎng)絡安全威脅排行榜的首位。在“釣魚攻擊”中，最為傳統(tǒng)的手法就是“釣魚郵件”，即黑客通過發(fā)送電子郵件進行網(wǎng)絡釣魚，這招雖然很老，但卻非常有效。本期就讓我們來了解一下黑客是如何通過電子郵件進行釣魚的。

★編輯提示：網(wǎng)絡釣魚的危害

網(wǎng)絡釣魚：網(wǎng)絡釣魚是通過大量發(fā)送聲稱來自于銀行或其他知名機構的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息（如用戶名、口令、帳號ID、ATMPIN碼或信用卡詳細信息）的一種攻擊方式。最典型的網(wǎng)絡釣魚攻擊將收信人引誘到一個通過精心設計與目標組織的網(wǎng)站非常相似的釣魚網(wǎng)站上，并獲取收信人在此網(wǎng)站上輸入的個人敏感信息。在所有接觸詐騙信息的用戶中，有高達5%的人都會對這些騙局做出響應。

網(wǎng)絡釣魚的一般流程為：黑客通過網(wǎng)絡向用戶散發(fā)釣魚郵件或信息，用戶點擊其中的鏈接后，將被引導至黑客制作的釣魚網(wǎng)站，如果用戶在這里輸入自己的敏感信息，那么所有輸入的信息將被黑客得到。網(wǎng)絡釣魚這種攻擊方法的出現(xiàn)，使黑客的攻擊方式從主動轉變?yōu)榱吮粍?，由用戶主動提交自己的敏感信息，因此不需要被攻擊者的計算機存在漏洞，也能完成整個攻擊過程。同時由于其攻擊面廣，造成的危害十分巨大。

當你的郵箱中收到一封提醒郵件，提示你需要更改QQ密碼時，你的第一反應會是什么呢？相信絕大多數(shù)人的第一反應是想打開頁面看個仔細，第二反應是想這是不是一個騙局，畢竟現(xiàn)在的網(wǎng)絡太不安全。于是，大家都會去看郵件發(fā)件人的地址，結果發(fā)現(xiàn)是郵箱的管理員，那么相信很多人都會信以為真，至少會打開修改密碼的網(wǎng)頁一探究竟。這個步驟看來并沒有什么問題，但是卻已經(jīng)落入了黑客釣魚攻擊的第一步。為什么這么說呢？因為這封電子郵件根本就是黑客偽造的。

黑客通過郵件進行釣魚攻擊，首先要解決的就是如何讓用戶相信這是一封官方發(fā)出的郵件，其中最主要的就是如何偽造發(fā)件人地址。要實現(xiàn)這個目的很簡單，因為網(wǎng)絡上有太多匿名郵件發(fā)送工具，隨便找一款就可以偽造發(fā)件人地址。我們尋找了一款匿名郵件發(fā)送工具，在“偽發(fā)件人郵箱”中填入“master@qq.com”，“收件人郵箱”中填入自己的郵箱，“郵件標題”設置為“你好，您的帳戶不安全，請您修改密碼”，內(nèi)容為“請點此進入修改密碼”。發(fā)送后，我們打開郵件后會發(fā)現(xiàn)：發(fā)件人竟然真的被假冒了，赫然顯示的就是“master@qq.com”，很多人會誤以為是QQ官方的郵件地址。雖然在地址后標注有“此地址未驗證，請注意識別”的提示，但在測試中，其他電子郵箱都沒有這樣的提示。

這樣，偽造發(fā)件人的目的我們已經(jīng)達到了，接下來黑客會在郵件內(nèi)容中動手腳，例如給“請點此進入修改密碼”加上超鏈接，用戶一點擊鏈接就會被引入到虛假的密碼修改頁面，通常這個頁面和QQ官方的密碼修改頁面非常相似，唯一的不同之處會體現(xiàn)在網(wǎng)址上。當然，如果你比較粗心，那么結果必然會淪為黑客釣魚的犧牲品。

其實，郵件釣魚的手段并不高明，只要我們能仔細觀察，提高安全防范意思，要辨別還是很容易的。首先是看郵件內(nèi)容，在超鏈接上點右鍵→“屬性”，查看鏈接網(wǎng)址，看看是否是官方網(wǎng)站的網(wǎng)址，其次要注意不要輕易輸入自己的密碼信息。做好這兩點，相信你就可以離郵件釣魚遠遠的了。