钓鱼攻击有哪些方式

钓鱼攻击有以下这些常见方式：

• 合法链接：许多攻击者试图通过将合法链接合并到欺骗性的网络钓鱼电子邮件中来逃避电子邮件过滤器的检测。他们可以通过包含他们可能欺骗的组织的合法联系信息来做到这一点。

• 混合恶意代码和良性代码：负责创建仿冒网站登录页的人通常将恶意代码和良性代码混合在一起，以欺骗ExchangeOnline Protection（EOP）。这可能采取复制科技巨头登录页面的CSS和JavaScript的形式，以窃取用户的账户凭证。

• 重定向和缩短链接：恶意行为体不想向受害者发出任何危险信号。因此，他们精心策划了网络钓鱼活动，使用缩短的网址作为欺骗安全电子邮件网关（SEG）的手段，“时间炸弹”是一种手段，将用户重定向到网络钓鱼登录页面，只有在电子邮件发送完毕后，才将用户重定向到合法网页上，而受害者则被吊销了他们的证书。

• 修改品牌标识：一些电子邮件过滤器可以发现恶意行为人窃取组织的标识，并将其纳入其攻击电子邮件或网络钓鱼登录页面。他们通过寻找logo的HTML属性来做到这一点。为了愚弄这些检测工具，恶意的参与者会更改徽标的HTML属性，例如其颜色。

• 最少的电子邮件内容：数字攻击者试图通过在其攻击电子邮件中包含最少的内容来逃避检测。例如，他们可以选择包含图像而不是文本来实现这一点。

• 在云服务上存放恶意文档：CSO Online报告称，越来越多的数字攻击者将其恶意文档存放在Dropbox、Box、GoogleDrive和其他云服务上。默认情况下，IT不太可能屏蔽这些服务，这意味着该组织的电子邮件过滤器不会标记武器化的文档……

• 破解令牌：security news platform还指出，数字罪犯正试图危害API令牌或会话令牌。在这方面的成功将使他们能够窃取电子邮件帐户、SharePoint网站或其他资源的访问权限。

• 收集办公室外通知：攻击者需要大量的情报，才能发出令人信服的鱼叉式网络钓鱼攻击。根据Trend Micro的说法，他们可以通过向员工群发电子邮件和收集外出通知来了解内部员工使用的电子邮件地址格式。

• 探索社交媒体：恶意行为者需要知道谁在目标公司工作。他们可以通过使用社交媒体来调查组织的结构，并决定挑选谁来实施他们的目标攻击。