什麼是刺激？

打磨是一種形式網路釣魚針對行動裝置的攻擊。網路釣魚者不會透過電子郵件發送網路釣魚內容，而是使用簡訊或彩信來傳遞訊息。由於遠端工作和自帶設備 (BYOD) 政策，行動裝置在業務中的使用變得越來越普遍，網路釣魚已成為企業網路安全日益嚴重的威脅。

暗黑攻擊如何發揮作用？

網路釣魚的流行概念主要集中在電子郵件上，因為電子郵件是傳遞網路釣魚內容的原始且最常見的媒體之一。但是，這不是網絡釣魚者可以實現自己的目標的唯一方法。

行動裝置的使用量迅速增長，這些裝置具有「永遠在線」的心態，這對網路釣魚者來說是無價的。雖然行動裝置可以存取多種通訊管道（電子郵件、社群媒體等），但簡訊對網路釣魚者來說有幾個好處。

短信可能像電子郵件一樣帶有惡意鏈接或附件（在 MMS 中），使它們可以使用與其相同的技術 phishing emails。但是，短信比電子郵件有一些優勢，例如它們的長度有限和品牌的使用量增加。

例如，在 SMS 消息中，使用鏈接縮短服務是例行的，這些服務使得很難事先查看鏈接的目標。此外，行動電話不允許用戶將滑鼠懸停在連結上以檢視其目的地。這兩個因素使得攻擊者透過簡訊進行網路釣魚變得更容易、更有效

與傳統的基於電子郵件的網路釣魚攻擊一樣，網路釣魚攻擊使用不同的藉口來誘騙收件者點擊郵件中嵌入的連結。一些常見的藉口包括：

帳戶問題： 品牌越來越使用 SMS 消息進行客戶服務，用戶可能習慣接收有關其帳戶問題或通知的短信。偽造者可能會傳送文字聲稱存在問題，並將收件人指向竊取帳戶憑證的假連結。
2019 冠狀病毒： 時事是網路釣魚攻擊的常見藉口，而 COVID-19 大流行為網路犯罪分子提供了眾多機會。基於新冠病毒的詐騙可能會要求提供個人信息以進行“接觸者追踪”，或提供有關刺激檢查和公共安全更新的不准確信息，從而導致網路釣魚網站的出現。
金融服務： 假冒者可能會扮演金融服務組織，要求收件人驗證其帳戶上的某些活動。如果目標回應，可能會嘗試竊取登入憑證或其他個人資訊，作為驗證程序的一部分。
MFA 代碼： 由於 SMS 是最常用的按鈕驗證 (MFA) 方法之一，因此一些簡訊攻擊旨在竊取這些代碼。詐騙者可能會通過告訴攻擊者發送給他們的 MFA 代碼，通過告訴收件者他們需要驗證他們的身份。攻擊者嘗試以使用者身分登入來觸發此程式碼，然後在收件者提供正確的程式碼後獲得存取權。
訂單確認： 掃描訊息可能包含假訂單的確認，以及修改或取消該訂單的鏈接。當收件人點擊鏈接時，它將他們引導到竊取登錄憑據的假網站。

這些是打擊者在攻擊時使用的一些最常見的藉口。隨著遠端工作和 BYOD 政策的興起，行動裝置的使用量不斷增長，這些攻擊變得越來越普遍和複雜。

由於網路釣魚攻擊只是透過不同媒體執行的網路釣魚攻擊，因此許多相同的最佳實踐都適用，包括：

避免點擊鏈接： 文字訊息中的連結很難驗證，因為連結縮短，以及無法將滑鼠懸停在連結上查看目標。直接瀏覽到目標網站，而不是單擊文本消息中的鏈接。
不提供資料： 暗黑攻擊通常旨在以驗證身份或其他假設身份驗證身份或其他藉口從目標中竊取敏感數據。切勿向您未通過其網站上列出的號碼打電話或發短信的人提供個人數據。
從應用程序商店安裝應用程序： 簡訊攻擊可能旨在誘騙收件者在其行動裝置上安裝惡意應用程式。始終從信譽良好的應用程序商店安裝應用程序，最好是在創作者的網站上驗證其真實性後。

切勿共用 MFA 代碼： 短信通常用於傳輸線上帳戶的 MFA 代碼，詐騙者可能會假裝他們發送了 MFA 代碼來驗證用戶的身份。切勿向任何人提供 MFA 代碼。

隨著遠端和混合工作模式以及 BYOD 設備政策的興起，行動裝置正在成為業務的核心部分，行動安全比以往任何時候都更重要。這使惡意攻擊對公司和個人構成嚴重威脅。

Check Point 和 Avanan 開發了網路釣魚防護解決方案可在所有攻擊向量中提供保護，包括對擊殺攻擊。若要詳細了解如何保護您公司的行動裝置免遭網路釣魚 Harmony，歡迎您申請免費示範。