網(wǎng)絡(luò)釣魚 惡意軟件 供應(yīng)鏈攻擊三大網(wǎng)絡(luò)安全威脅持續(xù)頻發(fā)

人們永遠(yuǎn)不能否認(rèn)互聯(lián)網(wǎng)帶來的福祉，它使人們的生活變得更輕松、更簡單。但網(wǎng)絡(luò)世界也充滿了各種類型的威脅。2022年上半年，全球重大網(wǎng)絡(luò)安全事件頻發(fā)，勒索軟件、數(shù)據(jù)泄露、黑客攻擊等層出不窮，且變得更具危害性，比如今年1月份，美國布勞沃德公共衛(wèi)生系統(tǒng)公布了一起大規(guī)模數(shù)據(jù)泄露事件，超過130萬人受影響。

隨著技術(shù)的不斷進(jìn)步，網(wǎng)絡(luò)攻擊者的攻擊成本不斷降低，同時攻擊方式更加先進(jìn)，美國《福布斯》雙周刊網(wǎng)站在近日的報道中，列出了2023年值得警惕的三大網(wǎng)絡(luò)安全威脅：網(wǎng)絡(luò)釣魚、惡意軟件、供應(yīng)鏈攻擊。

更多組織遭遇網(wǎng)絡(luò)釣魚
網(wǎng)絡(luò)釣魚仍然是全球面臨的重大網(wǎng)絡(luò)安全威脅之一。

網(wǎng)絡(luò)釣魚指通過大量發(fā)送聲稱來自于銀行或其他知名機(jī)構(gòu)的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息的一種攻擊方式，其唯一目的是竊取個人或組織數(shù)據(jù)，包括登錄憑據(jù)和信用卡卡號等。

今年人們在媒體上看到的大多數(shù)成功的網(wǎng)絡(luò)攻擊，都是從網(wǎng)絡(luò)釣魚開始的。比如，美國《紐約時報》在今年9月份援引優(yōu)步發(fā)言人的話報道稱，一名黑客入侵了該公司一名員工的辦公通訊應(yīng)用程序，并利用它向優(yōu)步員工發(fā)送消息，這名員工被說服交出了一個密碼，讓黑客得以進(jìn)入優(yōu)步內(nèi)部系統(tǒng)。

今年3月底，有黑客組織偽裝成政府執(zhí)法部門向互聯(lián)網(wǎng)公司套取用戶數(shù)據(jù)，以發(fā)送虛假法庭傳票的方式獲取目標(biāo)特許數(shù)據(jù)。數(shù)據(jù)勒索團(tuán)伙成功入侵了微軟、英偉達(dá)、蘋果等巨頭內(nèi)網(wǎng)竊取數(shù)據(jù)，包括用戶的基本信息，如家庭住址、電話號碼、IP地址等。

今年4月，電子郵件營銷公司MailChimp披露其遭到黑客攻擊，黑客利用內(nèi)部客戶支持和賬戶管理工具竊取用戶數(shù)據(jù)，并進(jìn)行網(wǎng)絡(luò)釣魚攻擊。

美國的一項研究顯示，與前一年相比，2021年有更多組織至少遭遇了一次基于電子郵件的網(wǎng)絡(luò)釣魚攻擊。這一趨勢預(yù)計將在2023年繼續(xù)。

軟件勒索事態(tài)惡化

惡意軟件是以惡意意圖編寫的軟件的統(tǒng)稱，包括病毒軟件、勒索軟件和間諜軟件。惡意軟件威脅可能會導(dǎo)致計算機(jī)系統(tǒng)、服務(wù)器或公司網(wǎng)絡(luò)中斷，還可能導(dǎo)致私人信息泄露。

目前，世界上最流行的惡意軟件攻擊類型之一就是勒索軟件攻擊。攻擊者獲得對信息或系統(tǒng)的未經(jīng)授權(quán)訪問，或完全剝奪用戶對信息的訪問權(quán)限，直到公司或用戶向黑客支付一定金額的錢，才能恢復(fù)對數(shù)據(jù)的訪問或解密。

例如今年1月，美國新墨西哥州最大的縣就受到勒索軟件攻擊的影響，導(dǎo)致多個公共事業(yè)部門和政府辦公室系統(tǒng)下線，此次勒索軟件攻擊還致使監(jiān)獄系統(tǒng)下線。今年2月底，全球芯片制造巨頭英偉達(dá)被曝遭到勒索軟件攻擊，入侵者成功訪問并在線泄露了員工私密信息及登錄數(shù)據(jù)，黑客向英偉達(dá)索取100萬美元的贖金和一定比例的未指明費用。

除了對系統(tǒng)的訪問被阻止外，實施惡意軟件攻擊的犯罪者還可能在網(wǎng)上發(fā)布機(jī)密數(shù)據(jù)。比如今年3月，國際黑客組織“匿名者”宣布，他們成功入侵了全球最大食品制造商雀巢公司的網(wǎng)絡(luò)，并披露了10吉字節(jié)的敏感數(shù)據(jù)，包括公司電子郵件、密碼和與商業(yè)客戶相關(guān)的數(shù)據(jù)。相關(guān)數(shù)據(jù)顯示，2020年全球超過1000家公司因未向勒索軟件要求低頭而遭到數(shù)據(jù)泄露。

瑞士網(wǎng)絡(luò)安全公司Acronis此前發(fā)布警告說：“勒索軟件事態(tài)正在惡化，甚至比我們預(yù)期的還要嚴(yán)重，預(yù)計到2023年，全球勒索軟件損失將超過300億美元。”
供應(yīng)鏈攻擊呈爆發(fā)增長

《福布斯》雙周刊網(wǎng)站在報道中指出，許多公司花費時間和金錢來保護(hù)外圍和內(nèi)部系統(tǒng)，但很少關(guān)注第三方——包括供應(yīng)商、合作伙伴、承包商和服務(wù)提供商的網(wǎng)絡(luò)安全，網(wǎng)絡(luò)供應(yīng)鏈攻擊因此趁虛而入。

供應(yīng)鏈攻擊指的是對于供應(yīng)鏈所發(fā)動的網(wǎng)絡(luò)攻擊。攻擊者會將供應(yīng)鏈作為攻擊對象，先攻擊供應(yīng)鏈中安全防護(hù)相對薄弱的企業(yè)，再利用供應(yīng)鏈之間的相互連接，如軟件供應(yīng)、開源應(yīng)用等，將風(fēng)險擴(kuò)大至上下游企業(yè)，產(chǎn)生攻擊漣漪效應(yīng)和巨大的破壞性。供應(yīng)鏈攻擊的手段包括：利用第三方應(yīng)用程序、利用開放源代碼庫中包含的漏洞等等。供應(yīng)鏈攻擊往往牽涉到更多的企業(yè)，且更具破壞性，甚至?xí)o整個行業(yè)帶來巨大的影響。

近年來，供應(yīng)鏈攻擊事件呈現(xiàn)爆發(fā)增長的態(tài)勢，歐洲網(wǎng)絡(luò)和信息安全局發(fā)布的《供應(yīng)鏈攻擊的威脅分析》報告指出，和2020年相比，2021年供應(yīng)鏈攻擊已經(jīng)顯著提升。以色列一項研究表明，與2020年相比，2021年軟件供應(yīng)鏈攻擊增長了300%以上，這一趨勢預(yù)計還會持續(xù)增加。

文章轉(zhuǎn)載自澎湃網(wǎng)