基于邮件欺诈和网络钓鱼的防范研究

摘要：网络钓鱼攻击者经常利用伪造的网址和具有欺骗性的电邮来进行诈骗。网络钓鱼是指发出大量具有误导性的垃圾讯息，宣称是从某家银行或其它知名机构发出的。目的是引诱收件人提供敏感信息。网络钓鱼的出现对企业信息安全和公司商业秘密造成了巨大的损害。本文主要研究了电子邮件欺诈和网络钓鱼的方法和原理，并提出了实用可行的网络安全策略和保护措施。

关键词：邮件欺诈；网络钓鱼；企业防范

互联网的普及，给企业带来了巨大的风险，也给企业带来了更多的信息安全问题。那么，为何黑客总会取得成功？究其根本原因，在于很多企业对网络安全的基本认识不足，特别是企业网络信息管理人员，对其所用的操作系统，缺乏有效的安全措施与机制。中国对网络安全的研究处于起步阶段，其安全技术也有待于不断完善与发展。

一、邮件欺诈和网络钓鱼的工作原理

“网络钓鱼”，既有“钓鱼”，也有“电话”。因为黑客最初是以移动电话为作案工具，所以将“F”改为“Ph”，制造出“网络钓鱼”，其读音和钓鱼一样。

网络钓鱼的入侵者利用欺骗性的电邮及伪造的网址来进行诈骗。一企业的职工常常会不经意间透露自己的金融信息，例如帐户密码、社保号、信用卡号码等。诈骗分子通常以信誉良好的银行，网上商店，信用卡公司为掩护，在企业受到诈骗消息影响的人员中，高达5%的人会对此作出回应。由于很多人不喜欢输入长长的互联网地址，所以“钓鱼”主要是利用了这种“方便”的心理。骗子一般会在网页或电邮中发出封锁网址，当使用者点击这些连结后，便会被转至受封锁的网址。在这种情况下，如果一个新的网页被开启，那么这个网页的内容或者是类似于真正的网页，或者是在IE的地址条上显示了一个正确的地址。诈骗分子将诱使你输入账号及密码。但是，千万别认为你上的是真的，你只是去了个假的。如果你右击页面，然后在右键选单里选择“属性”，你就能确定真正的网址。

二、网络钓鱼的主要手法

（一）通过电子邮件‚发布虚假信息引诱用户

网络钓鱼者会发出很多欺骗性的邮件，让个人或者企业用户通过中奖、咨询、投票等方式把自己的财务帐户和密码输入到自己的邮箱里，或以各种各样的紧急理由让收信人登陆指定的网址，输入自己的用户名，密码，身份证号，信用卡卡号等其他资料，从而将用户的钱财偷走。

（二）建立假冒网上银行、网站‚骗取用户密码实施盗窃

网络钓鱼人创建了一个类似于真实的在线银行系统和在线证券交易平台的域名和网站的内容，诱使使用者输进自己的账户密码等资料，之后再利用真正的网上银行在线证券系统来盗取资本，或者伪造银行储蓄卡和股票交易卡。

（三）利用虚假电子商务进行诈骗

很多人受低价格的引诱，通过一些著名的电商网站如eBay、淘宝等，设立了电子商务网站，或者在网上张贴商品出售的假消息，打着“免税商品”，“走私商品”，“慈善销售”的旗号，出售各式各样的商品。一旦接到受害人的汇款，这些人就会销声匿迹，或是将劣质货物当作货物偷运出去。

（四）利用木马和黑客技术窃取用户信息后实施盗窃

木马制造者散布木马，它会向你发送一封电子邮件，或者把它藏到你的网页中。一旦被感染的使用者和企业账户在网上进行交易，木马就会根据键盘上收到的帐号和口令，把他们传送到指定的邮箱。有些木马病毒能够突破“软键盘”的加密方式，盗取用户和企业的信息，给企业和用户的个人财产带来极大的危害。

（五）利用用户弱密码破解猜测用户账号和密码

因为有些人为了获得更多的便利而建立一个强度较弱的密码，网络黑客就会利用费率以及某些加密算法来入侵电脑或者信用卡的密码。实际上，钓鱼人通常采用以上所述的方式来进行网络诈骗，并通过手机短信，QQ，MSN等进行各类违法行为。

（六）仿冒发件人别名

邮件账号的别名字段属性在被不法分子随意利用时，会通过公共邮箱对他人账号进行仿冒，其中利用了邮件协议身份验证的漏洞。在自行搭建或者恶意租用邮件服务器时，虽然使用的发件人地址和别名具有真实性，但在向受害者发送邮件时，受害人接收邮件之后，对此类仿冒现象毫无察觉。一旦收到受害者的邮件回复，若诈骗者能够通过恶意链接或者附件达成目的，则会完成诈骗。

（七）类似域名仿冒

在注册域名时具备相似性，若受害者稍不注意，则存在邮件欺诈的风险。

（八）商业邮件欺诈

商业邮件欺诈的邮件主题一般是以发票、发货信息、逾期账户为主，实际的表达形式极具中国特色。比如，部分财务员工存在以领导为尊的习惯，在收到领导的转账要求时，一般会有忽略身份验证从而简化对流程的审批，所以该种案例的发生频率较高。

三、网络钓鱼危害

“钓鱼”现象的出现对电子商务及网上销售造成了极大的伤害。

(一)破坏了电子商务的生态环境，破坏了经济秩序

以看货到付款的“直接交换”为基础的交易方式，是电子商务交易方式的一个重要特征。向以信用手段和信用体系为媒介的“间接交易”转变。由于网络诈骗行为的蔓延，使得用户对该交易模式产生了质疑，从而导致了信用建设成本的增加。

（二）骗取网民钱财使网民遭受经济损失

在网络上张贴广告，比如海关查封，便宜的电器，极具诱惑力，也极具欺骗性。钓鱼人在进行此类交易时，不但能从中获利，而且还能从个人和企业用户身上获取机密资料，从而导致使用者经济上的损失。

（三）破坏了网上的诚信交易环境

诚信问题已成为制约中国电子商务发展的“瓶颈”。根据专家们的说法，中国缺少信贷制度，造成了高达GDP10%到20%的低效率成本。

（四）邮件欺诈的风险与法律后果

1.个人隐私和信息泄露风险

诈骗者可能会采用虚构身份的方式，或者在冒用他人身份的情况下，能够轻易地获取与受害者相关的个人隐私信息。诈骗者可能会通过索要个人身份证件的方式，或者在向受害者索要银行账户与信用卡号码时，若受害者缺乏防诈骗意识，一旦个人隐私信息被泄露，可能会造成身份盗窃，或者导致受害者直接成为其他非法活动的目标。

以黑客为例，通过伪装合法网站，或者在向受害者发送虚假的电子邮件时，存在诱导的作用，此时用户在不注意的情况下向黑客提供个人隐私信息，如银行账户密码、身份证号码等，此事会导致个人隐私信息泄露。若黑客冒充企业高层，或者以企业重要合作伙伴的身份出现，在发送钓鱼邮件或者虚假的网站链接时，能够轻易地获取企业的敏感信息，例如客户数据、商业计划等。

2.财务损失

邮件欺诈现象的存在，一般是诱导受害者上当并向其索取一定金额的资金，所以是以金钱作为主要目的。例如，在诈骗邮件当中假称需要紧急贷款，或者以支付手续费的名义，附加了关于受害者即将面临严重后果的相关表述，在受害者尚未意识到受骗的情况下，会不自觉地向诈骗者转账，从而形成了严重的财务损失。

3.社交网络钓鱼风险

通过黑客创建的虚假社交网络账号，以名人或者重要人物的角色出现，在冒充他人角色时与用户展开互动，从而对用户形成了诱导，导致用户在不知情的情况下向黑客提供了个人信息。黑客在发布虚假消息之后，会利用社交网络引导用户访问恶意网站，或者在不知情的情况下下载了恶意文件，从而存在社交网络钓鱼风险。

4.金融损失风险

黑客通过建立虚假购物网站，在吸引具备消费能力的受害者时，通过购买商品这一行为，在受害者输入银行卡信息后，黑客能够轻松获取用户的银行卡信息，从而完成对资金的盗取。对于虚假投资平台的制造，一旦吸引用户使其不自觉地输入个人敏感信息，如银行账户信息，黑客则会利用获取的信息完成非法转账或者出现资金盗窃的行为。

5.信用卡盗刷风险

黑客在伪装支付网站之后，通过对用户的诱导，用户将信用卡信息输入网站当中，此类信息会被黑客盗取，从而开展非法消费活动。黑客在劫持支付页面时，通过对其中支付链接或者交易金额的随意篡改，用户在实际支付过程中容易被黑客盗刷。

6.社工攻击风险

黑客通过仿冒客服的方式，在与用户沟通时对用户进行诱导，若用户提供了个人信息或银行账户，那么黑客则会实施诈骗行为。黑客在确定目标个人之后，通过对其社交资料的调查，在伪装时以目标个人熟知的人或合作伙伴的角色，通过与目标个人之间建立信任，从而获取敏感信息。

7.恶意软件侵入风险

通过对正规网站的伪装，黑客在诱导用户时一般会发送链接，由用户点击并下载文件，但实质上下载的是恶意软件。一旦用户安装，黑客则会获取到用户的相关敏感信息。黑客在发送钓鱼邮件之后，其中会有附带恶意附件，一旦用户在不知情的情况下打开了附件，此时恶意软件会直接侵入电脑系统，轻则会导致数据泄露，重则会造成电脑受损。

8.法律责任

对于从事邮件欺诈的人员必将面临法律的追究并获得相应的惩罚。结合不同国家和地区在邮件欺诈方面的法律规定，邮件欺诈可能会被认定为侵犯隐私、诈骗、网络犯罪等多项罪行，所以诈骗者将会面临牢狱之灾。

四、识别与防范网络钓鱼的措施

（一）防范欺诈邮件的方法

事实上，鉴别欺骗性的电子邮件是很简单的。如果你从一个知名的网站或者公司那里得到了一些关于你的私人资料或者你的账户有问题，你可以通过检查下面的内容来判断你所接收的信息是不是诈骗。

1.发件人地址

垃圾信息一般都是由群组软体发出，且寄件者的位址可任意设定。所以，一封电邮的真伪，不应该只靠发信人一人的意见。在这个例子中，你只需查看信头就能发现真实的发信人。

这里有一种方法可以看到标题：你可以在登陆网站浏览一封邮件的时候，在邮件菜单里点击“原始”按钮，就能看到邮件的标题。如果你是用OutlookExpress来收发邮件的，点击“详细信息”按钮，就可以看到邮件的标题了。如果在原始标头文字中包含了发送者，那么发送者就是真正的发送者；否则，发送方会使用最后一台SMTP伺服器。Receive声明的基本形式为：“从服务器上的服务器B”，这里，服务器A表示发送者，而服务器B表示接受者。一般情况下，最后一个接收组的伺服器A为寄件者的位址，伺服器B为其所用的输出者，而在首个接收者集合中的伺服器B为你自己的e-mail接收器。

2.账户状态威胁

很多具有误导性的电子邮件会给使用者带来一种危险的感觉，就像“目前数据库正在升级，你的账户目前被锁住；一般来说，有名望的站点或者公司是不大会遗失这些资料的，如果因为系统问题造成了数据的遗失，那么这个备份文件还可以被还原。

3.要求用户提供信息

很多欺骗性的电子邮件都含有很多假的链接，让个人或企业用户输入资料，例如使用者名称、密码或银行帐号，只要点选一个链接，或是填上电子邮件内的表单。这是欺骗性电子邮件的显著特点。

（二）假冒网上银行、网上证券网站

网上理财及电子商务使用者在网上购物时，要留意如下事项：一、核实所选网址与实际网址相符；其次，要正确地选取和储存您的口令。不要用你的身份证号，生日，电话等作口令。推荐您采用混合字母与数字的组合，并且在不同的系统中，不要用同一个口令；三是维护好交易纪录，对网上银行、证券及其它平台的转帐及付款记录进行记录，定期审阅「历史交易记录」及列印交易。第四，要妥善保管电子凭证，不要在公用电脑上进行网上交易；五要提防不正常的活动。若你不慎将帐号及密码输至陌生网页，并出现“系统维护”等警告，请立刻拨打有关客服热线查询。如遇资料遭窃，请及时修改有关的交易密码，或进行银行卡、证券交易卡挂失。六是要走正规的付款通道，从官方发布的网址登陆，而非通过搜寻引擎或其它不明网址发现的网址。

（三）针对虚假电子商务信息

网民应该抓住下列诈骗短信的特点，切勿被骗：第一，看似“正常”的虚假购物和竞价网页，上面有公司名字，地址，联络电话，联系人，邮箱等，有的还带有网络信息服务的提交备案编号和信用资质；第二种模式为一种模式，即顾客仅可透过银行转帐，由个人支付，而非企业。订购方法永远都是先支付再发货；这同样适用于第三种消费欺诈方式。在第一次转账之后，骗子会以各种各样的原因打电话给汇款人，让他把余额，风险保证金，押金或税金转移给他。如有异议，恕不退换货。有些顾客在首次付款后，仍以愉快的态度继续付款；第四，在进行在线交易前，必须对交易平台及对方的资质有一个完整的认识。

（四）防范邮件欺诈的措施

在收到未知发件人传送的邮件时，通过对其中内容的观察，若涉及个人信息、金钱或者紧急情况，需要时刻保持警戒，避免随意点击链接或者附件。在邮件当中，若对方声称来自某一个公司、机构或者组织，需要立即验证发件人身份，通过官方网站查询或者直接电话联系的方法对邮件真实性进行核实。

在多数诈骗邮件当中，往往存在语言错误或者文法错误的情况，且瑕疵比较明显，若发现邮件中有大量错误，则可以判定为属于诈骗性质的邮件。用户的电子邮箱和其他在线账户密码应保障强度足够，避免使用的密码过于简单或者容易猜测，通过定期对密码的修改，可以提高账户安全系数。

为有效过滤诈骗邮件，可以利用反垃圾邮件软件对诈骗邮件做成标记，通过对垃圾邮件和诈骗邮件的识别与屏蔽，有效减少风险问题。一旦遭受邮件欺诈，需要及时向当地警方报案，将所有信息和证据提供给警方，在警方的协助下配合调查，有利于警方追究诈骗者的责任。

（五）仔细观察，准确识别

1.发件人地址

在钓鱼邮件中，通常会对发件人地址进行伪造，例如单位域名、邮箱账号、系统管理员账号等。若帐号拼写奇怪，或者在怀疑邮件真实性的情况下，需要认真谨慎的鉴别并处理，通过仔细查看发件人的地址，可以通过官方网站或者电话联系核实地址真实性，如机构或公司的名称。

2.收件人地址

对于所接收的邮件，若发现属于群发性质，且接收的带内人员并不属于常用联系人范畴，或者不在同一工作组织内部的人员范围之内，则需要时刻保持警惕。

3.邮件标题

在钓鱼邮件主题当中，关键字可能会涉及以下内容，如系统管理员、通知、发票、参会名单、邮箱升级、邮箱容量上线等，此时则需要提高警惕，判断其中的细节，审核邮件的真实性。

4.正文措辞和内容

部分钓鱼邮件存在制造紧急气氛的特点，如“务必在18点前回复”等，或者在包含不真实、不合理的内容时，如承诺高额回报、抽奖中奖通知等，需要谨慎处理此类邮件，切勿相信虚假承诺。

5.正文目的

对于钓鱼邮件中索要隐私信息的字样，如索要账号密码、索要个人信息等，在判断正文目的时则能够引起警惕，避免造成严重后果。

6.正文内容

在正文中对于出现的二维码或者链接地址有可能属于钓鱼链接，因此需要仔细核对判断地址的真实性，确保个人敏感信息填写谨慎。部分垃圾邮件中涵盖退订的功能，但其中的退订按钮可能为虚假制造，在点击后会导致大量垃圾邮件涌入，或者出现随意植入恶意代码的现象，因此可以直接将发件人拉进黑名单，对后续的邮件拒收。

7.附件内容

对于不够明确的邮件附件，通过注意其格式，如“bat”“msi”“exe”“cmd”“msp”等，在尚未病毒查杀之前，切忌直接点击。

（六）钓鱼邮件规范措施

1.不在公共网络中进行敏感操作

在尚未确定安全的情况下，若需要登录邮箱时，或者在登录通讯软件、支付软件的情况下，当需要进行敏感操作时，应尽量避免直接连接公共网络，可以防止诈骗者运用节流手段获取个人敏感信息。

2.保护个人信息

在部分网站或者邮件尚未经过验证的情况下，避免随意提供个人敏感信息，这是由于合法的公司或者机构一般不会通过电子邮件的方式要求对方提供银行密码、社会安全号码密码等敏感信息，如果在邮件中涉及要求个人提供敏感信息的内容，需要与机构直接联系对其真实性予以核实。

3.谨慎点击链接

若邮件当中存在链接，需要对其真伪仔细辨认，在链接跳转后，若出现需要输入账号密码的指令，需要格外提高警惕。对于邮件中的链接和附件需要避免随意点击或下载，尤其是陌生人发送的邮件，在链接中可能存在恶意网站或者在附件当中包含了病毒或恶意软件，所以需要提前核实附件，在确保来源可信的情况下，才能够点击链接或下载附件。

4.重要邮件及时备份

邮箱中存在非必要的敏感信息内容时，需要及时对其清理，在处理重要邮件时需要归档备份，一旦被攻击，也能够防止邮件信息丢失问题。

5.登录口令要保密

对于邮箱的密码信息应做到不随意向外泄露，对于登陆口令需要铭记于心，避免随意张贴在办公桌或者易于发现的位置，在设置邮箱密码时应保障足够复杂，并做到定期更换。

6.安装杀毒软件

通过安装杀毒软件，对病毒库定期更新，在随时启用杀毒软件时对邮件的附件进行扫描，另外还需要对操作系统补丁定期更新。

7.更新和使用安全软件

对于个人操作系统、安全软件和浏览器需要及时定期做好更新，避免遭到恶意软件的侵害，防止病毒的侵入。所运用的防病毒软件和防火墙应保障安全可靠，可以对计算机和移动设备形成有效保护，降低欺诈邮件风险发生几率。

8.不在互联网上发布敏感信息

由于诈骗者会对用户发布的互联网信息进行收集，在全面分析的基础上所发送的钓鱼邮件比较有针对性，所以在发布工作信息时需要谨慎，避免在互联网上随意公布个人敏感信息。

结语

在提高对可能存在的“钓鱼”风险的警觉的同时，频繁使用互联网的个人用户及企业用户也应定期升级防火墙及防毒软体，并注意定期维护系统，以堵住软体的漏洞。切勿尝试搜寻陌生网址、不相信不明通讯网络、或执行自网络上下载的不明软体。只有适当地保护好自己的个人资料，不在公众场合使用网上银行，电子有价证券等，才能确保远离网上诱饵。