攻擊者在商業電子郵件泄露（BEC）攻擊中大量使用了X-rated釣魚誘餌。一份新的研究報告發現，涉及到性暗示的社交工程學攻擊激增了974%，這些事件通常會針對公司的男性進行攻擊。

　　GreatHorn的威脅情報團隊發現了這一情況，并解釋說這并不是簡單的利用人類的性欲驅使用戶點擊這些具有暗示性材料。相反，這些突然出現在人們工作屏幕上的電子郵件是為了使用戶感到很震驚，這種策略被GreatHorn稱為 “炸藥式網絡釣魚 ”。

　　根據該報告，犯罪分子并不總是使用那些非常明顯的暗示，其目的是使用戶的心理失去平衡，內心受到驚嚇，降低用戶大腦做出理性決定的能力。

　　漏洞、滲透、勒索、重復

　　據GreatHorn觀察，這些惡意網址主要做了以下的三件事。誘導用戶下載惡意軟件；將用戶引導到一個假的約會網站，誘使受害者輸入支付數據；或跟蹤用戶進行后續的攻擊，報告稱這很可能會涉及到敲詐勒索。詐騙者通常會使用一種叫做電子郵件傳遞的策略來追蹤他們的受害者。

　　報告說：“一旦用戶點擊了電子郵件中的一個鏈接，他們的電子郵件地址就會自動傳遞給鏈接的網站。在這些攻擊中，網絡犯罪分子會利用他們收集到的信息，為后續階段的攻擊做準備”。

　　GreatHorn在這里分享了一個X級釣魚誘餌的例子，研究人員解釋說，這個鏈接會把用戶帶到一個照片網站，然后再引導到一個具有詐騙性的約會網站。

　　GreatHorn補充說：“這種方式收集的用戶數據將被傳輸給網絡犯罪分子，他們將利用這些數據達到各種惡意攻擊目的，如提款、敲詐或實施進一步的欺詐行為。

　　除了會給個人帶來問題之外，這些網絡釣魚攻擊對組織來說也變得越來越危險。

　　令人震驚的 “網絡釣魚 ”攻擊

　　為了證明網絡釣魚的誘餌現在已經變得多么陰險，Agari網絡情報部門（ACID）將8000個賬戶憑證放在他們所控制的釣魚網站上，然后仔細觀察接下來會發生什么。

　　該報告稱接下來發生的事情令人非常震驚。四分之一的賬戶憑證一經發布就自動被攻擊者竊取。

　　幾乎所有（92%）被入侵的賬戶都是由攻擊者手動攻破的。該公司發現，大約20%（五分之一）的賬戶在發布一個小時內被訪問登錄，91%的賬戶在被入侵后一周內被訪問登錄。

　　ACID團隊解釋說：“雖然大多數被攻擊的賬戶只被攻擊者訪問過一次，但我們觀察到一些特例，有些網絡犯罪分子對被攻擊的賬戶進行了持續的訪問”。

　　更糟糕的是，隨著這些攻擊者獲得了越來越多的賬戶訪問權，這些賬戶就會被用來發動更多的攻擊。

　　他們警告說：“我們看到騙子創建了新的轉發規則，轉向了其他應用程序，包括微軟OneDrive和微軟團隊，他們會試圖向外發送釣魚郵件，有時甚至會是數以千計的；并且利用這些賬戶建立其他的BEC基礎設施。

　　網絡釣魚是最大的安全威脅

　　Lookout的Hank Schless告訴Threatpost，目前網絡釣魚是所有組織都面臨的最大的網絡安全挑戰之一。

　　他解釋說：“網絡釣魚攻擊幾乎可以作為所有網絡攻擊的催化劑。在過去的一年里，我們已經看到了無數的勒索軟件攻擊和數據泄露的發生，這些都是由于個人的登錄憑證被泄露而引發的。”

　　Schless補充說，這種攻擊在移動設備上只會更加復雜，因為用戶一般會在通信、應用程序等之間來回的切換。

　　Netenrich公司的Sean Cordero說，現在是企業完全重新思考他們的IT運營策略和風險管理策略來有效應對網絡釣魚的時候了。

　　他解釋說：“他們需要了解自己企業可攻擊面的范圍，如果一個組織不知道他們所暴露的資產的數量，也就無法保護內部資產和與外部環境的連接。不幸的是，那些組織嚴密、資金充足的攻擊者有足夠的時間和資源來找到攻擊點”。