报告发布 | 金融行业的“钓鱼即服务”

进入五月，很多人在社交媒体上看到了各式各样的反诈宣传活动。有派出所提醒居民下载反诈 app ，有水果摊打出警惕诈骗行为的贴心提醒，还有超市在各类商品上粘贴、喷涂各种反诈宣传语……

这些措施有没有效果？肯定有！但恐怕依然会有人上当受骗。因为很多人可能并不清楚，这些在线欺诈行为的背后到底蕴含着多少风险。

致力于帮助全球企业打造安全、流畅、可信数字体验的 Akamai ，其实一直以来都在帮助广大客户与各类在线欺诈活动斗争。近日 Akamai 发布的[互联网现状]/安全性报告第七卷第2期，就专门围绕针对金融行业开展的网络钓鱼攻击进行了细致的分析。

本文我们一起来看看，这期报告具体说了点什么。

针对金融服务业的撞库攻击再创新纪录

2020年，Akamai 在全球范围内共监测到193,519,712,070次撞库攻击，其中3,452,192,348次专门以金融服务业为目标，相比上一年增长45%。尤其是2020年11月29日，这一天里，全球金融行业的 Akamai 客户就遭受了63,558,042次撞库攻击，创下了该行业的新纪录。

2020年全年，金融服务业和所有其他行业遭遇的撞库攻击数量统计

此外，以金融行业为目标的其他 Web 攻击也增加了62%。2020年全年，Akamai 共监测到以金融服务业为目标的 Web 攻击736,071,428次，其中本地文件包含（Local File Inclusion，LFI）攻击方式以52%的比例脱颖而出，紧随其后的是 SQL 注入（33%）和跨站脚本（9%）。

2020年全年，金融服务业遭受攻击的攻击向量分布

以金融服务业为目标的“钓鱼即服务”

除了这些最基本的统计，Akamai 还与 WMC Global 联手研究了针对金融服务业的欺诈钓鱼攻击行为。

过去多年来，欺诈钓鱼攻击导致的数据外泄和安全入侵事件频繁占据了媒体头条的位置。发展到今天，欺诈钓鱼已经成为了一种“交钥匙”方式的在线服务！甚至还有人提供在线托管的钓鱼攻击解决方案，犯罪分子只需要花钱，就可以享受到“钓鱼即服务”的一条龙式攻击、窃取和销赃服务。

本次联合研究中，Akamai 重点关注了一个以 “ Kr3pto ” 为名在网上叫卖此类服务的人。Kr3pto 钓鱼工具包主要以受害者的用户名和密码，以及双重身份验证环节所使用的第二个身份验证方法（例如安全问题和答案、手机短信发送的验证码）为目标。该工具包的运作流程可无缝并且动态地适应受害者在不同银行执行的操作。

Kr3pto 在全球范围内的感染情况

经研究发现，截止2020年2月17日，Kr3pto 工具包曾感染过高达8,344个域名，最高峰时（2020年11月），全球同一时间共有800多个域名被感染。Kr3pto 发起攻击时，首先会通过短信向受害者抛出“鱼饵”，称受害者的账户被锁定或有一笔新的入账款项等待处理。一旦受害者点击短信中的链接，钓鱼攻击便会立即开始。受害者试图登录时，用户名和密码就此外泄。

Kr3pto 伪造爱尔兰一家金融服务机构的登录页面

如果登录需要输入手机验证码呢？钓鱼攻击页面会实时生成一个验证码输入框，待用户输入验证码后，背后的攻击者就会立即使用采集到的用户名、密码和验证码登录真正的金融机构网站，将账户中的余额全部转走。据估计，一次典型的此类攻击通常会造成约500-1000美元的损失。

写在最后

每一天，全球都有数百种类似上文提到的 Kr3pto 那样的钓鱼工具包被开发出来并快速流传。攻击是永远不会停止的。当企业和组织利用各类新 Web 技术提高敏捷性并不断完善客户体验的同时，攻击者也在利用相同的技术完善和改进自己的攻击手段。

1930亿次撞库攻击，60亿次 Web 攻击，这背后蕴含的意义不得不引起每个人重视。但有一点可以明确：攻击者会不断以未能充分利用身份验证保护技术（例如 MFA 和 2FA ）的组织为目标。因为使用这些技术的组织，要想成功发起类似的攻击，往往需要耗费更大的精力和成本，而既然有那么多组织还没有采用类似技术，何不捡“软柿子”来捏呢？

在本期报告中， Akamai 还与 WMC Global 联手研究了另一款主要针对企业用户凭据的钓鱼工具包：Ex-Robotos 。另外，报告中还针对线管研究提供了更深入的分析和结论。90

欢迎前往 Akamai 微站（

https://akamaiwebinar.anruidm.com/protal/edgedetails?id=

166fc58b-8abb-43f4-bff7-293291e4eeaa ） 免费下载 Akamai [互联网现状]/安全性报告第七卷第2期，了解更多。