二维码钓鱼邮件攻击的套路大同小异，以上案例事件攻击路径分析

如今，由于越来越多企业的员工接受过安全意识培训，不会再轻易点击邮件中的可疑链接。所以，网络钓鱼攻击者又开创了新的方法：二维码钓鱼邮件。近日，国外某安全公司的研究人员发现，网络钓鱼攻击者开始发送大量包含二维码图片的钓鱼邮件，这些电子邮件将二维码嵌入邮件正文，以成功绕过安全保护，并可针对目标进行某种程度的定制，从而更容易欺骗收件人。

二维码是一种矩阵型二维条码，在社会快速发展的今天，扫描二维码成为了人们日常必做的“工作”。但是，它为人们带来的不仅是生活上的便利，还有钓鱼网站、病毒软件等恶意攻击。随着人们的应用习惯发生改变，网络钓鱼攻击也由传统的电子邮箱垃圾邮件引诱式钓鱼攻击，转变为扫描二维码直接快速链接到钓鱼网站的方式。

一、二维码钓鱼攻击路径

二维码钓鱼邮件具有两大特点，一是邮件不包含任何文本，只有一个图片文件附件，能够绕过基于文本分析的电子邮件安全方案；二是图像中嵌入了一个二维码，指向凭证收集站点，加快的访问钓鱼站点的速度，并能够有效降低员工意识到问题的可能性。

二维码钓鱼邮件攻击的套路大同小异，以上案例事件攻击路径分析如下：

1、攻击者将web登录二维码伪装成公众号二维码。

2、攻击者轮询二维码保证其有效性，设置钓鱼页面。

3、此时伪造钓鱼页面中的时候，可设置触发事件直接代替用户点击登录。

4、当用户扫描后，攻击者获取用户的登录凭证。

5、已经成功构造拼接链接，攻击者获取相关服务进行会话交互，获取敏感信息。

二维码钓鱼邮件多为“喷射攻击”，攻击者会将邮件发送给尽可能多的目标用户，以期待提高攻击成功率。二维码钓鱼邮件的出现给企业带来了严重的安全风险和负面影响。这种攻击方式可以导致数据泄露、账户被盗、恶意软件感染和企业声誉受损等问题。

二、钓鱼邮件安全意识评估势在必行

随着越来越多企业员工接受安全意识培训，他们已经变得更加警惕，不再轻易点击可疑链接，因此网络钓鱼攻击者开创二维码钓鱼邮件。网络安全是动态且不断变化的，安全意识也应该如此。道普信息风险管控专家表示，企业想要时时规避风险，提升网络安全指数，除了加强邮件安全防护体系建设外，也需要定期举行钓鱼邮件安全意识评估。

1、准备阶段

在前期调研过程中，掌握企业安全意识基本情况，并协助企业确定标靶网站及测评对象。

2、定制阶段

在钓鱼邮件主题及邮件内容设计阶段，则要根据企业实际调研情况，针对性的选择钓鱼邮件主题。

3、测试阶段

确定和制作钓鱼邮件样例后，实施定性测试定制化工作完成后在测评小组内部进行钓鱼邮件测试。

4、评估总结阶段

批量发送钓鱼邮件后，在规定时间内对结果收集，并对客户行为数据统计分析，形成钓鱼邮件测试报告。

如今随着数字化的高速发展，二维码网络钓鱼邮件诈骗可能会变得更加普遍。越来越多企业员工接受安全意识培训，对可疑链接的警惕性提升，企业需要认识到这一新威胁，并采取适当的措施加强安全意识培训和技术防御，以保护员工和公司免受二维码钓鱼邮件的威胁。

道普信息风险管控专家强调，通过钓鱼邮件安全意识测评服务，有效发现薄弱环节与人员，记录被测对象在测评过程中的行为数据，使客户认知自身安全意识水平的基础上同步提升企业员工安全意识，减少成本，促使企业发现自身潜在问题，及时改善，保障企业安全运营。

本文内容来源于互联网，若侵权，请联系我们删除

文章来源:https://www.toutiao.com/a7257322860836946472/