5 月 20 日消息，近日 Akamai 發(fā)布了《互聯(lián)網安全狀況報告：針對金融行業(yè)的網絡釣魚》報告。這份報告是 Akamai 與威脅情報公司 WMC Global 合作制作，這次合作研究了兩種特定的網絡釣魚工具包“Kr3pto”和“Ex-Robotos”。
報告顯示，2020 年，Akamai 在全球范圍內監(jiān)測到 1930 億次撞庫攻擊，其中 34 億次攻擊針對的是金融服務機構，同比增長超過 45%。
Akamai 在 2020 年觀察到近 63 億次 Web 應用程序攻擊，其中超過 7.36 億次攻擊針對的是金融服務行業(yè)，比 2019 年增加了 62%。
對 Web 應用程序攻擊細分會發(fā)現，在全球所有業(yè)務類型中，SQL 注入(SQLi)攻擊依然高居榜首，占 2020 年所有 Web 應用程序攻擊的 68%，本地文件包含(LFI)攻擊以 22% 位居第二。然而在金融服務行業(yè)中，LFI 攻擊占比高達 52%，是 2020 年排名第一的 Web 應用程序攻擊類型。SQLi 和跨網站腳本攻擊分別占 33% 和 9%。
全行業(yè)中 SQL 注入攻擊占比最高
此外，在過去三年(2018 年至 2020 年)中，Akamai 發(fā)現針對金融服務行業(yè)的 DDoS 攻擊增加了 93%，這表明系統(tǒng)破壞仍然是犯罪分子的目的，因此他們往往會攻擊日常業(yè)務所需的服務和應用程序。
整體而言，從 2019 年到 2020 年，針對金融服務行業(yè)的攻擊面呈現出同比顯著增加的趨勢。
僅以此次重點研究的網絡釣魚工具包“Kr3pto”和“Ex-Robotos”為例，報告顯示，Kr3pto 網絡釣魚工具包以短信方式向金融機構及其客戶發(fā)起攻擊，自 2020 年 5 月以來，其在英國總計欺詐了 11 個品牌，涉及 8000 多個域名。在企業(yè)撞庫網絡釣魚方面，43 天內用于 Ex-Robotos 的 API IP 地址的點擊量超過 22 萬次。
Akamai 安全研究員兼《互聯(lián)網安全狀況報告》作者 Steve Ragan 認為：“撞庫攻擊數量的持續(xù)顯著增加與金融服務行業(yè)的網絡釣魚狀況有直接的關系。犯罪分子會使用各種方法來擴充其收集到的登錄憑據，而網絡釣魚則是他們攻擊手段中的關鍵工具之一。通過以該行業(yè)中的銀行客戶和員工為目標，犯罪分子令其潛在受害者的數量以指數方式增加。”
報告強調，像 Ex-Robotos 和 Kr3pto 這樣的網絡釣魚工具只是冰山一角 —— 每天都有數百種工具被開發(fā)和分發(fā)。隨著網絡釣魚攻擊及工具包的發(fā)展，防御者意識到僅僅依靠用戶名和密碼是不夠的，以零信任為代表的安全機制，限制和控制訪問，實施多層身份驗證和防御，將有助于企業(yè)更好的控制安全性。
