简单的答案： 鱼叉式网络钓鱼 是一种特殊类型的网络钓鱼攻击。
网络钓鱼 是指使用恶意电子邮件、短信或语音电话来诱骗人们共享敏感数据（例如信用卡号码或社会安全号码）、下载恶意软件、访问恶意网站、向错误的人汇款或以其他方式进行的网络攻击他们自己、他们的同事或他们的雇主。 网络钓鱼是 最常见的网络犯罪攻击向量，或方法； 300,479 次网络钓鱼攻击 被举报 2022 年向 FBI 提交。
大多数网络钓鱼是 批量网络钓鱼——看似来自广为人知且值得信赖的发件人（例如，全球品牌）的非个人信息，集体发送给数百万人，希望一小部分收件人上钩。
鱼叉式网络钓鱼 是有针对性的网络钓鱼。 具体来说，鱼叉式网络钓鱼邮件是
- 发送给特定个人或个人群体
- 高度个性化，基于研究
- 精心设计的邮件看起来像是来自与收件人有关系的发件人，例如收件人认识的同事或同事，或者收件人负责的人，例如经理或公司高管。
鱼叉式网络钓鱼攻击比网络钓鱼攻击要少得多，但它们追求更大或更有价值的奖励，并且一旦成功，就会比批量网络钓鱼诈骗产生更大的影响。 据一位 最近的报告，鱼叉式网络钓鱼电子邮件仅占 12 个月内所有电子邮件的 0.1%，但占这 12 个月内数据泄露的 66%。 合而为一 备受瞩目的鱼叉式网络钓鱼攻击诈骗者通过冒充合法供应商并诱骗员工支付欺诈性发票，从 Facebook 和 Google 窃取了超过 1 亿美元。
鱼叉式网络钓鱼攻击有何不同？
鱼叉式网络钓鱼攻击采用多种策略，使其比批量网络钓鱼攻击更难以识别且更具说服力。
基于广泛研究的可信度
为了使他们的针对性攻击更加可信，鱼叉式网络钓鱼者会研究其发件人及其目标，以便他们可以有效地冒充发件人，并向目标提供可信的故事。
许多鱼叉式网络钓鱼者通过社交媒体了解发送者和受害者。 随着人们在社交媒体和其他在线地方如此自由地共享信息，网络犯罪分子现在无需进行太多挖掘即可找到相关且详细的信息。 例如，研究受害者的 LinkedIn 页面可能有助于诈骗者更好地了解员工的工作职责并了解其组织使用哪些供应商，以便他们可以更有效地冒充虚假发票的可靠发件人。
据 Omdia 报道， 经过大约 100 分钟的常规 Google 搜索后，黑客制作了令人信服的鱼叉式网络钓鱼电子邮件。 一些黑客甚至可能侵入公司电子邮件帐户或消息应用程序，并花更多时间观察对话以收集更详细的关系背景。
具体的社会工程策略
社会工程学 战术利用心理操纵来诱骗人们相信错误的前提或采取不明智的行动。 根据他们的研究，鱼叉式网络钓鱼诈骗者可以制造可信的情况，或者 借口，作为他们信息的一部分——例如， 我们决定与一家新的律师事务所合作处理土地交易，您能将随附的发票电汇以支付他们的聘用费吗？ 它们可以营造一种紧迫感，促使接收者仓促行事，例如， 付款已逾期 – 请在午夜之前汇款以避免滞纳金。 有些人甚至使用社会工程学来保守骗局的秘密，例如， 请谨慎行事，保持安静，直到本周晚些时候宣布交易。
多种消息类型
鱼叉式网络钓鱼诈骗越来越多地结合来自多种媒体的消息以增加可信度。 例如，鱼叉式网络钓鱼消息包含目标可以拨打以进行确认的电话号码； 这些号码是由欺诈性代表接听的。 一些诈骗者在鱼叉式网络钓鱼电子邮件之后发送欺诈性短信（称为 诈骗）。 最近，诈骗者通过虚假电话（称为 愿望）使用基于人工智能的方式模仿所谓的发件人的声音。
鱼叉式网络钓鱼的类型
根据攻击目标或攻击对象，鱼叉式网络钓鱼攻击可进一步分为多个子类型。
商业电子邮件泄露
商业电子邮件泄露 (BEC) 是一种鱼叉式网络钓鱼电子邮件诈骗，试图从企业窃取资金或敏感数据。
在 BEC 攻击中，网络犯罪分子（或网络犯罪团伙）向目标组织的员工发送看似来自经理或同事的电子邮件，或者来自收件人已知的供应商、合作伙伴、客户或其他同事的电子邮件。 这些电子邮件的目的是诱骗员工支付欺诈性发票、向虚假银行账户进行电汇或向据称需要这些信息的人发送敏感信息。 （在极少数情况下，BEC 诈骗者可能会尝试传播 勒索软件 或者 恶意软件 要求受害者打开附件或单击恶意链接。）
一些 BEC 诈骗者采取额外步骤窃取或获取发件人的电子邮件帐户凭据（用户名和密码）并直接从该发件人的实际帐户发送电子邮件。 这使得该骗局看起来比从最精心假冒或欺骗的电子邮件帐户发送的骗局更真实。
在一种称为 CEO 欺诈的特殊类型的 BEC 攻击中，诈骗者会伪装成高级管理人员，向较低级别的员工施压，要求其汇出资金或披露敏感数据。
鲸鱼网络钓鱼
鲸鱼网络钓鱼 是一种鱼叉式网络钓鱼攻击，针对最引人注目、最高价值的受害者（或“鲸鱼”），包括董事会成员、C 级管理人员以及名人和政客等非企业目标。 鲸鱼网络钓鱼者知道这些人拥有只有高价值目标才能提供的东西，包括大量现金、访问高价值或高度机密信息的权限以及值得保护的声誉。 毫不奇怪，捕鲸攻击通常比其他鱼叉式网络钓鱼攻击需要更详细的研究。
鱼叉式网络钓鱼攻击示例
2022年8月，云通讯巨头 Twilio 遭受复杂的鱼叉式网络钓鱼攻击，损害了其网络。
网络钓鱼者使用看似来自公司 IT 部门的虚假短信来针对 Twilio 员工。 这些消息声称员工的密码已过期或他们的日程安排已更改，并将他们引导至一个虚假网站，要求他们重新输入登录凭据。 为了使网络钓鱼骗局更加真实，黑客在虚假网站的 URL 中添加了“Twilio”、“Okta”和“SSO”（单点登录的缩写），以进一步说服员工点击恶意链接。
诈骗者利用误信了这些消息的员工的登录凭据，闯入了 Twilio 的公司网络。
网络钓鱼骗局成了新闻 不仅因为它的复杂性（一位专家称其为“历史上最复杂的长篇黑客之一”），还因为 Twilio 作为一家 B2B 公司的独特地位，为许多其他科技公司提供服务。 结果，其他几家科技公司发现自己卷入了网络钓鱼骗局，其中包括 Twilio 旗下的 Authy（一种双因素身份验证服务）和 Signal（一种使用 Twilio 进行短信验证服务的加密消息传递应用程序）。
最终，Twilio 攻击影响了超过 163 个客户组织，包括 1,900 个信号账户。 此外，事实证明，像 Twilio 所面临的鱼叉式网络钓鱼攻击正变得越来越普遍。
领先于鱼叉式网络钓鱼和网络钓鱼尝试
电子邮件安全工具、防病毒软件和 多重身份验证 都是抵御网络钓鱼和鱼叉式网络钓鱼的关键第一道防线。 组织也越来越依赖安全意识培训和网络钓鱼模拟来更好地教育员工有关网络钓鱼和鱼叉式网络钓鱼攻击的危险和策略。
然而，如果没有最先进的威胁检测和响应能力来实时捕获网络犯罪分子并减轻成功的网络钓鱼活动的影响，任何安全系统都是不完整的。
IBM Security® QRadar® SIEM 将机器学习和用户行为分析 (UBA) 与传统日志一起应用于网络流量，以实现更智能的威胁检测和更快的修复。 在 Forrester 最近的一项研究中，QRadar SIEM 通过识别误报帮助安全分析师在三年内节省了超过 14,000 个小时，将调查事件所花费的时间减少了 90%，并将遭遇严重安全漏洞的风险降低了 60%。* 借助 QRadar SIEM，资源紧张的安全团队拥有快速检测威胁所需的可见性和分析能力，并立即采取明智的行动，以最大限度地减少攻击的影响。
*IBM Security QRadar SIEM 的总体经济影响™是 Forrester Consulting 代表 IBM 于 2023 年 4 月委托进行的一项研究。基于根据四位受访 IBM 客户建模的复合组织的预测结果。 实际结果将根据客户端配置和条件而有所不同，因此无法提供通常预期的结果。
