spear phishing：鱼叉式网络钓鱼

鱼叉式网络钓鱼（spear phishing）是面向特定组织的欺诈行为，目的是不通过授权访问机密数据。和用于常规钓鱼（phishing）活动的电邮信息一样，鱼叉式网络钓鱼信息看上去来源可靠。钓鱼信息通常看上去是来自朋广泛群众基础的大型知名公司或网站，比如易趣或贝宝（PayPal）。但是在鱼叉式网络钓鱼事件中，电子邮件的显示来源可能是接收人公司内部的个人，且通常是地位比较高的人。

　　根据纽约时报上的文章所说，鱼叉式网络钓鱼（spear phishing）活动的发起人一般不是“随机黑客”，而更可能是“专为获取利益、商业机密或军事信息的复杂集团”。

　　以下是鱼叉式网络钓鱼（spear phishing）攻击的一种形式：犯罪者找到目标组织的网站，这个网站提供员工的联系信息和公司的其它相关数据。犯罪者运用详细信息来让他们发出的信息看上去更可信，他们冒用某人身份编写的邮件，被冒用身份的人需要这些机密信息应该是合理的，如网络管理员。一般来说，鱼叉式网络钓鱼人需要用户名和密码或者是叫接收人点击会让用户下载间谍软件（spyware）或其它恶意程序的链接。这样的信息应用社交工程（欺诈，非技术性）的战略来获得接收人的相信。如果一名员工掉进了鱼叉式网络钓鱼者的陷阱，攻击者可以伪装成该员工然后获得机密数据的访问权。

　　很多人已经开始怀疑意料之外的机密信息问询，且不会在回复邮件中泄露个人数据或是点击邮件中的链接，除非他们确定信息来源。鱼叉式网络钓鱼（spear phishing）的成功还一定程度上依赖所用的详细信息：显示来源是知名且可信的个人，信息内容支持它的有效性，且要求看上去符合逻辑。

　　在2004年的西点军校中，教官兼国家安全局专家Aaron Ferguson向500个实习生发送邮件，叫他们点击一个链接来核实年级。Ferguson的邮件看上去是来自西点军校的Robert Melville上校。超过80%的收件人点击了邮件中的链接。他们收到的回复邮件中通知说，他们都上当了，并警告说，他们的行为可能造成了间谍软件、木马（Trojan horse）或流氓软件（malware）的下载。

　　根据塞门铁克的报告显示，2005年每周发生一到两起有目标的钓鱼攻击，这个数字到2010年10月已经上升到每天超过70起。

最近更新时间：2011-04-07 翻译：徐艳EN