谨防以假乱真的“钓鱼邮件”

很多人对“网络钓鱼”这个词并不陌生，简单的说无非是黑客伪造链接或网页，骗取用户钱财或虚拟财产的手段。可就是如此简单的攻击手法，却让黑客屡屡得手，受害者更是不计其数，“钓鱼攻击”也一直排在网络安全威胁排行榜的首位。在“钓鱼攻击”中，最为传统的手法就是“钓鱼邮件”，即黑客通过发送电子邮件进行网络钓鱼，这招虽然很老，但却非常有效。本期就让我们来了解一下黑客是如何通过电子邮件进行钓鱼的。

★编辑提示：网络钓鱼的危害

网络钓鱼：网络钓鱼是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息（如用户名、口令、帐号ID、ATMPIN码或信用卡详细信息）的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息。在所有接触诈骗信息的用户中，有高达5%的人都会对这些骗局做出响应。

网络钓鱼的一般流程为：黑客通过网络向用户散发钓鱼邮件或信息，用户点击其中的链接后，将被引导至黑客制作的钓鱼网站，如果用户在这里输入自己的敏感信息，那么所有输入的信息将被黑客得到。网络钓鱼这种攻击方法的出现，使黑客的攻击方式从主动转变为了被动，由用户主动提交自己的敏感信息，因此不需要被攻击者的计算机存在漏洞，也能完成整个攻击过程。同时由于其攻击面广，造成的危害十分巨大。

当你的邮箱中收到一封提醒邮件，提示你需要更改QQ密码时，你的第一反应会是什么呢？相信绝大多数人的第一反应是想打开页面看个仔细，第二反应是想这是不是一个骗局，毕竟现在的网络太不安全。于是，大家都会去看邮件发件人的地址，结果发现是邮箱的管理员，那么相信很多人都会信以为真，至少会打开修改密码的网页一探究竟。这个步骤看来并没有什么问题，但是却已经落入了黑客钓鱼攻击的第一步。为什么这么说呢？因为这封电子邮件根本就是黑客伪造的。

黑客通过邮件进行钓鱼攻击，首先要解决的就是如何让用户相信这是一封官方发出的邮件，其中最主要的就是如何伪造发件人地址。要实现这个目的很简单，因为网络上有太多匿名邮件发送工具，随便找一款就可以伪造发件人地址。我们寻找了一款匿名邮件发送工具，在“伪发件人邮箱”中填入“master@qq.com”，“收件人邮箱”中填入自己的邮箱，“邮件标题”设置为“你好，您的帐户不安全，请您修改密码”，内容为“请点此进入修改密码”。发送后，我们打开邮件后会发现：发件人竟然真的被假冒了，赫然显示的就是“master@qq.com”，很多人会误以为是QQ官方的邮件地址。虽然在地址后标注有“此地址未验证，请注意识别”的提示，但在测试中，其他电子邮箱都没有这样的提示。

这样，伪造发件人的目的我们已经达到了，接下来黑客会在邮件内容中动手脚，例如给“请点此进入修改密码”加上超链接，用户一点击链接就会被引入到虚假的密码修改页面，通常这个页面和QQ官方的密码修改页面非常相似，唯一的不同之处会体现在网址上。当然，如果你比较粗心，那么结果必然会沦为黑客钓鱼的牺牲品。

其实，邮件钓鱼的手段并不高明，只要我们能仔细观察，提高安全防范意思，要辨别还是很容易的。首先是看邮件内容，在超链接上点右键→“属性”，查看链接网址，看看是否是官方网站的网址，其次要注意不要轻易输入自己的密码信息。做好这两点，相信你就可以离邮件钓鱼远远的了。