网络钓鱼(Phishing)

网络钓鱼(Phishing)是一种通过伪装成有信誉的机构或个人,诱骗受害者主动交出用户名、密码、银行卡号等敏感信息的网络诈骗手段。

概述

网络钓鱼的英文 Phishing 由 Fishing(钓鱼)变体而来,形象地描述了攻击者"撒饵钓鱼"的过程:先伪造一个以假乱真的界面或消息作为诱饵,再等待受害者上钩。攻击者通常冒充大众熟悉、使用广泛的服务,如网上银行、电子支付平台、社交网站、电商与拍卖网站、电信运营商,甚至政府部门和公司内部 IT 管理员。

典型的攻击流程是:攻击者搭建一个高度仿冒真实网站的假页面,其外观、排版乃至域名都与官方网站极为相似,再通过电子邮件、短信或即时通讯工具把假网址发给受害者,并以"账户异常""密码过期""中奖领取"等借口制造紧迫感,诱使其点击链接并输入个人资料。这些信息一旦提交,就会直接落入攻击者手中,被用于盗刷、盗号或进一步诈骗。

值得注意的是,即使网站启用了 HTTPS 加密,也不代表它是官方网站——钓鱼网站同样可以申请证书并显示"锁"图标,因此仅凭加密标识很难判断真伪,核对域名本身才是关键。

主要特点

• 伪装可信来源:冒充银行、支付平台、社交网站或管理员,利用品牌信任降低受害者警惕。
• 仿冒界面与域名:页面几乎与真站一致,域名常用形近字符或相似拼写混淆视听。
• 多渠道投递:通过邮件、短信(又称 Smishing)、电话(Vishing)、即时通讯和社交媒体广泛传播。
• 利用心理弱点:以恐吓、奖励、限时等话术制造紧迫感,属于典型的社会工程学攻击。
• 形式不断演化:从广撒网式群发,发展出针对特定个人或企业高管的鱼叉式钓鱼(Spear Phishing)和"捕鲸"攻击。

如何防范

• 不点击来历不明的链接,涉及账户操作时手动输入官网地址或使用官方 App。
• 仔细核对浏览器地址栏中的完整域名,警惕形近、多余字符的仿冒域名。
• 为重要账户开启双因素认证(2FA),即使密码泄露也能降低损失。
• 企业应定期开展安全意识培训,并部署邮件过滤与反钓鱼检测系统。

常见问题

问:网站显示 HTTPS 小锁图标就一定安全吗?答:不一定。HTTPS 只说明传输过程加密,钓鱼网站同样可以申请证书,判断真伪应核对域名是否为官方域名。

问:不小心在钓鱼网站输入了密码怎么办?答:应立即在官方渠道修改该密码及所有使用相同密码的账户,开启双因素认证;涉及银行卡的应第一时间联系银行冻结或挂失。

问:网络钓鱼和木马病毒有什么区别?答:木马依靠恶意程序入侵设备,而网络钓鱼主要利用欺骗话术让受害者"自愿"交出信息,更多攻击的是人性弱点而非技术漏洞,两者也常被结合使用。