如何避免网络钓鱼攻击

 在提高数字安全的道路上，你可能会遇到试图破坏你的安全目标的坏人。我们称这些坏人为对手。当对手发送一封看似正常但实际上恶意的电子邮件或链接时，这被称为网络钓鱼。

网络钓鱼攻击通常以信息的形式出现，目的是说服你这么做：

• 点击链接;
• 打开文件;
• 在您的设备上安装软件; 要么
• 将您的用户名和密码输入到看似合法的网站。

网络钓鱼攻击可以诱使您放弃密码,或者诱使您在设备上安装恶意软件 攻击者可以使用恶意软件远程控制您的设备 窃取信息或监视您。

本指南将帮助您识别钓鱼攻击，当您看到他们，并概述一些实用的方法，以帮助抵御他们。

网络钓鱼攻击的类型

密码钓鱼(又称凭据收集)

钓鱼者可以通过发送一个欺骗性链接来欺骗你，让你给他们你的密码。消息中的Web地址可能看起来有一个目的地，但是指向另一个目的地。在您的计算机上，您通常可以通过将鼠标悬停在链接上方来查看目标URL。但是，链接还可以用相似的字母进一步伪装，或者使用与合法域名相差一个字母的域名，这些域名可能会把你引向一个看似属于你使用的服务的网页，比如Gmail或Dropbox。这些假冒的登录界面看起来非常合法，很容易让人输入用户名和密码。如果您这样做，您将向攻击者发送您的登录凭证。

因此，在输入任何密码之前，请查看Web浏览器的地址栏。 它将显示页面的真实域名。 如果它与您认为您正在登录的站点不匹配，请不要继续！ 请记住，在页面上看到公司徽标并不能确认它是真实的。 任何人都可以将徽标或设计复制到自己的页面上，试图欺骗你。

一些网络钓鱼者使用看起来像流行网址的网站来欺骗你：https://wwwpaypal.com/与https://www.paypal.com/不同。 同样地，https://www.paypaI.com/（大写字母“i”而不是小写“L”）与https://www.paypal.com/不同。 许多人使用URL短域名转换来使长URL更易于阅读或键入，但这些可用于隐藏恶意目标。 如果您收到来自Twitter的缩短网址，例如来自Twitter的t.co链接，请尝试将其放入https://www.checkshorturl.com/以查看其真实链接。

记住，伪造电子邮件很容易，这样它们就会显示一个错误的回复地址。这意味着检查发件人明显的电子邮件地址不足以确认电子邮件确实是发件人发送的。

鱼叉式网络钓鱼

大多数网络钓鱼攻击都是广泛存在的。 攻击者可能会向数百或数千人发送电子邮件，声称他们拥有令人兴奋的视频，重要文档或计费纠纷。

但是有时网络钓鱼攻击的目标是基于攻击者已经知道的个人信息。这被称为“鱼叉式网络钓鱼”想象一下，你收到鲍里斯叔叔的一封电子邮件，上面写着他孩子的照片。既然鲍里斯真的有孩子，而且看起来是他的地址，你就打开它。当您打开电子邮件时，会附上一份PDF文档。当你打开PDF文件时，它甚至可以显示鲍里斯的孩子的照片，但它也会悄悄地在你的设备上安装恶意软件，用来监视你。鲍里斯叔叔没有发那封邮件，但是知道你有鲍里斯叔叔(他有孩子)的人发了。您点击的PDF文档启动了您的PDF阅读器，但是利用了软件中的一个错误来运行自己的代码。除了给你看一个PDF文件，它还把恶意软件下载到你的电脑上。该恶意软件可以检索您的联系人，并记录您设备的摄像头和麦克风看到和听到的内容。

保护自己免受网络钓鱼攻击的最好方法是永远不要点击任何链接或打开任何附件。但是这个建议对大多数人来说是不现实的。以下是防御网络钓鱼的一些实用方法。

如何帮助抵御网络钓鱼攻击

保持软件更新

使用恶意软件的钓鱼攻击通常依赖于软件漏洞，以便将恶意软件带到您的计算机上。通常，一旦bug被发现，软件制造商就会发布更新来修复它。这意味着旧的软件有更多众所周知的漏洞，可以用来帮助安装恶意软件。让你的软件保持最新可以降低恶意软件的风险。

使用带有自动填充功能的密码管理器

自动填充密码的密码管理器跟踪这些密码属于哪个站点。虽然人们很容易被虚假的登录页面欺骗，但密码管理器不会以同样的方式被欺骗。如果您使用密码管理器(包括浏览器中的内置密码管理器)，而它拒绝自动填充密码，那么您应该犹豫一下，并再次检查您所处的站点。更好的方法是，使用随机生成的密码，这样您就不得不依赖于自动填充，并且不太可能将您的密码键入一个伪造的登录页面。

验证发件人的电子邮件

确定电子邮件是否是网络钓鱼攻击的一种方法是通过不同的渠道与应该发送邮件的人进行检查。如果邮件据称是从你的银行发出的，不要点击邮件中的链接。相反，你可以打电话给你的银行，或者打开你的浏览器，输入你银行网站的网址。同样，如果你的鲍里斯叔叔给你发了一封电子邮件附件，在打开之前给他打个电话，问问他是否给你发了他孩子的照片。

在Google云端硬盘中打开可疑文档

有些人希望收到陌生人的附件。例如，记者通常从消息来源接收文件。但是很难验证Word文档、电子表格或PDF文件是否恶意。

在这些情况下，不要双击下载的文件。相反，将其上传到谷歌驱动器或其他在线文档阅读器。这将把文档转换成图像或HTML，这几乎肯定会防止它在您的设备上安装恶意软件。如果你乐于学习新的软件，愿意花时间建立一个新的环境来阅读邮件或外国文件，这里有专门的操作系统来限制恶意软件的影响。tail是一个基于linux的操作系统，在您使用它之后会删除它自己。 Qubes是另一个基于Linux的系统，它仔细地分离应用程序，以便它们不会相互干扰，从而限制任何恶意软件的影响。 两者都设计用于笔记本电脑或台式电脑。

您还可以向VirusTotal提交不受信任的链接和文件，VirusTotal是一种在线服务，可检查针对多个不同防病毒引擎的文件和链接并报告结果。 这不是万无一失的 - 防病毒软件通常无法检测到新的恶意软件或有针对性的攻击 - 但它总比没有好。

您上传到公共网站的任何文件或链接，如VirusTotal或谷歌驱动器，都可以被该公司的任何工作人员查看，或者可能被访问该网站的任何人查看。如果文件中包含的信息是敏感的或特权通信，您可能需要考虑替代方案。

登录时使用双因素身份认证

有些网站允许您使用具有高级功能的特殊硬件令牌来避免钓鱼企图。这些令牌(或密钥)与浏览器通信，以建立每个站点的登录凭据。这被称为Universal 2nd Factor或U2F，因为它是一种标准的方法，要求在登录时除密码外还需要第二个身份验证方法。您只需正常登录，然后(在提示时)将密钥连接到您的计算机或智能手机，并按下一个按钮即可登录。如果您在钓鱼网站， 浏览器将知道不会使用在合法站点上建立的凭据登录。 这意味着，即使网络钓鱼者欺骗您并窃取您的密码，他们也不会泄露您的帐户。 Yubico（这种密钥的一个制造商）提供了有关U2F的更多信息。

对于一般的双因素身份验证，这一点不应混淆，双因素身份验证可能提供也可能不提供网络钓鱼保护。

小心电子邮件中的说明

一些网络钓鱼电子邮件声称来自计算机支持部门或技术公司，要求您用密码回复，或者允许“计算机维修人员”远程访问您的计算机，或者禁用您设备上的某些安全功能。这封邮件可能会给出一个所谓的解释，说明为什么这是必要的，比如说，声称你的邮箱已经满了或者你的电脑被黑客攻击了。不幸的是，遵守这些欺诈性的指令可能对你的安全不利。在给任何人提供技术数据或遵循技术说明之前要特别小心，除非你能绝对肯定请求的来源是真实的。