Day19【Web】网路攻击：网路钓鱼（Phishing）

网路钓鱼常被简称为网钓，
即攻击者透过伪装成正规的法人媒体，
以获得如使用者名称、密码和信用卡明细等
个人敏感资讯进行犯罪诈骗。

网钓通常透过 e-mail 或即时通讯进行，
攻击者会引导使用者到 URL 与介面外观
同真正网站几无二致的假冒网站输入个人资料。

即便使用强式加密的 SSL 服务器认证，
侦测网站是否仿冒实际上仍很困难。

网钓技术

让连结看上去像是属於原本的合法组织，
实际上却是引导到另一个网站。

使用图像代替文字，
使反网钓过滤器难以侦测
网钓电子邮件中常用的文字。

使用 JavaScript 改变位址栏，
用一个合法网址的位址栏图片
盖住真实位址栏仿冒知名网站。

声称是从银行打来的讯息，
告诉使用者拨打某支电话号码
以解决其银行帐户的问题。
一旦电话号码被拨通
（网钓者拥有这支电话，通常是网络电话），
该系统会提示使用者键入他们的帐号和密码。

在公共场所设定一个假 Wi-Fi 热点，
一旦使用者用个人电脑或手机登入该 Wi-Fi，
个人资料和所有隐私都会因此落入骇客手中，
有时连上假 Wi-Fi 的装置甚至会被隐密安装间谍软件。

攻击者建立一个使用真实站点位址的弹出式登录视窗，
引诱上网者输入他们的个人资讯。

收到要求「认证／核对身分」的信件时，与来源联络以检查这份邮件真实性。
前往连结前，应确认网址为该公司的真正网站，并透过浏览器网址栏输入前往，而不要轻易点击信件中的超连结。
有些公司（如 PayPal）在电子邮件中，通常会以客户使用者名称称呼其客户。因此当电邮的收件人是通用格式（如「亲爱的PayPal客户」）时，就要留意可能是网钓信件。