企业用户需警惕来自社交网络的钓鱼攻击
2011年05月18日 09:47
微软公司上周发布的一份安全报告指出，随着在线诈骗方式的日趋多样化，社交网络已经成为滋生网络犯罪分子的温床。
现在无论是国外的Facebook、Twitter还是国内的开心网等SNS类社交网站，正在越来越多的被各大企业公司所接受并用于网络商业推广，而恶意攻击者也看中了社交类网站的广泛传播性。
在微软的安全报告中称，2010年社交网络“钓鱼”攻击增长了1200%。据微软统计，利用社交网络的“钓鱼”攻击占到2010年12月份钓鱼攻击总数的84.5%，而2010年1月份这一数字仅为8.3%。从数据上我们明显可以看出，社交网络钓鱼攻击增速迅猛。
“钓鱼攻击”一般会冒充合法信息吸引网络用户点击恶意链接，购买流氓软件，或者泄露个人信息。对于中国用户，以前经常看到的“腾讯十周年中奖”之类的恶意欺诈就属于钓鱼攻击的一种，而这种钓鱼欺诈很容易在社交网络中再现。
现在，许多企业用户落户社交网站，利用社交网络进行自我推广，甚至是通过社交网络举办各类商业推广活动。对于恶意攻击者而言，这为发起钓鱼攻击奠定了很好的基础。
让我们设想一个最简单的社交网络钓鱼攻击事例吧。某著名公司通过社交网络发起有奖活动，恶意攻击者会首先假造一个完全相似的钓鱼页面，然后通过SEO毒化，让该假冒链接位于搜索结果最前列位置，同时对真正的活动网址发起攻击，使其无法正常访问，诱使用户进入钓鱼页面。此时，恶意攻击者一方面可以获取用户的注册资料，一方面可以发起进一步的欺诈攻击。而对于企业用户而言，这无疑会对其造成严重的负面影响。
另一方面，在企业局域网内，经常会有员工通过企业网络登录社交网站。这意味着，一旦企业员工遭遇了社交网络钓鱼攻击，那么就可能将恶意攻击的影响带入企业网络内部，使得企业网络无法正常工作。而对于APT类攻击的发起者，还会通过观察企业员工在社交网络的活动规律，逆向找到侵入企业网络的路径。
对于企业而言，社交网络犹如一把双刃剑。利用的好，则有利于企业的进一步推广宣传，否则，社交网络反倒会成为恶意攻击者入侵的便捷通道。无论企业是主动利用还是被动接触社交网络，都需要提前做好安全防护。
（编辑：Jesse）
