如何识别网络钓鱼,避免把密码交给诈骗者的实用防护方法

钓鱼攻击针对的是人,与服务器无关:对方说服您亲手在假页面上输入密码、短信验证码或银行卡信息。它之所以仍是最普遍的入侵方式,原因只有一个:便宜。群发几千封邮件几乎不花钱,一个受害者就能收回全部成本。好消息是防护也很便宜:注意力加上几个习惯。

如今的钓鱼是什么样

经典形式是来自“银行”或“邮件服务”的邮件,要求您紧急确认账号。此外还有带“包裹跟踪”链接的即时通讯消息和短信、搜索广告背后的假登录页、传单上的二维码,以及“同事”发来的带附件邮件。神经网络消除了过去最明显的标志:蹩脚的语言。现在文字通顺、标志精确,所以要看技术特征,别看文风。

几乎能防住一切的十条规则

1. 通过书签或手动输入地址进入重要服务,不要点邮件里的链接。
2. 输入密码前,逐字母检查地址栏中的域名。
3. 凡是支持的地方都开启两步验证:没有第二因素,被盗的密码几乎没用。原理见双因素认证一文。
4. 尽可能改用通行密钥:密钥与域名绑定,在假冒网站上根本不起作用。
5. 使用密码管理器。它只在真实域名上填写密码,所以在熟悉的网站上自动填充没有反应,本身就是警告。
6. 不要打开意料之外的附件,即使来自熟悉的地址:发件人可能已被盗号。
7. 完整阅读短信验证码和推送确认:里面写明了您正在确认什么操作。
8. 一次性注册和订阅用单独的邮箱,主邮箱留给银行和文件。
9. 及时更新浏览器:内置的危险网站列表能在页面加载前拦下不少伪造网站。
10. 把这些手法告诉家人:受害者往往是读这类文章的人的亲属。

钓鱼不只通过邮件而来

邮件只是最古老的渠道。同样的把戏也出现在即时通讯中:“给我侄女投票”“您有包裹,请付运费”,还有朋友被盗的账号向您借钱。电话版本是“银行安全部门”来电,催您报出短信验证码。餐桌和海报上的二维码通向同样的假页面,只是您连地址都看不到。另一个麻烦是搜索中的付费广告,假网站排在真网站上方。规则对所有渠道都一样:渠道不能证明对方身份,能证明的只有地址栏中的域名和第二因素。

这对有经验的人同样奏效,因为它打击的是状态而不是知识:疲劳、匆忙、害怕损失金钱。骗子制造时间紧迫感,让核查显得多余。所以上面的规则设计成自动执行,不需要思考。

邮件可疑但不能确定时

从技术上分析它。打开邮件源码,查看服务头:它实际从哪里发出,是否通过了发件人真实性检查。我们的邮件头分析工具无需手动阅读,就能显示服务器链以及 SPF、DKIM、DMARC 的结果。链接中的域名可以用 DNS 查询检查:刚注册的一次性域名几乎没有历史记录。

密码已输入:头半小时

1. 在真实网站上修改密码。如果其他地方也用过,一并修改。
2. 在账号安全设置中结束所有会话:被盗的密码往往在头几分钟就被使用。
3. 检查绑定的邮箱和手机、转发规则、备用码:攻击者喜欢给自己留后门。
4. 如果输入过银行卡信息,请通过银行冻结。这就够了,补办新卡会解决其余问题。
5. 观察账号几天。他人访问迹象的完整列表和恢复步骤见账号被盗一文。

钓鱼做不到什么

了解攻击的边界,也能避免不必要的恐惧。单纯打开邮件不会盗走密码:危险始于假页面或被运行的附件。通过 HTTPS 浏览网站,不会把您在其他服务的密码交给骗子。通行密钥或硬件密钥即使故意也无法“输错地方”,因为浏览器不会把它出示给其他域名。您用这些方式保护的账号越多,假页面这门生意对您就越没意义。

钓鱼依赖您的自动驾驶状态:邮件用紧迫感施压,手就伸向链接。停下十秒问一句“这个域名对吗”,整个骗局就破了。养成习惯比恢复访问便宜。