雙十一留神，謹防以假亂真的混合式釣魚網站攻擊
責編：admin ｜2014-11-10 15:36:43研究人員近日發現釣魚網站攻擊者開始采用一種全新的技術方法，即使是經過安全培訓的人員也難辨真假。
過去，釣魚網站攻擊者第一步通常會搭建一個與目標網站外觀相似的山寨網站用做魚餌，例如頁面看上去像京東或者工商銀行的惡意網站（編者按：說實話，工商銀行的官網本身看上去就很山寨，釣魚網站一不小心會比官網做得好看）。
但如今釣魚攻擊者開始采用一種更高明的方法（上圖），只開發若干個釣魚頁面，其余通過代理程序調用真網站的頁面，也就是說，用戶進入這個釣魚網站后看到跟真網站是完全一樣的頁面和功能，只有在網銀和支付登錄頁面是釣魚頁面，也就說用戶在釣魚網站中能獲得官方網站所有的內容，絲毫不會產生戒心，甚至當你用智能手機和平板電腦瀏覽的時候（例如京東這樣有多個客戶端的電商網站），也能獲得與官網毫無二致的移動web體驗。
有了足以以假亂真，亦真亦假的釣魚網站后（我們姑且稱之為混合式釣魚網站），攻擊者會通過常見的黑帽SEO、社交網絡和釣魚郵件等方式將釣魚網站的鏈接投放出去。
在趨勢科技發現的一起混合釣魚網站攻擊中，只有受害者將電商網站商品放入“購物車”時，才進入攻擊陷阱，因為購物車頁面是攻擊者寫的，受害者在里面填寫的任何個人隱私和網銀賬號支付信息都將被攻擊者獲取。
雖然趨勢科技發現的這次混合式釣魚網站攻擊發生在日本，但是由于這種釣魚網站技術非常難以察覺，殺傷力極大，未來的擴散只是時間問題，安全牛建議國內電商和金融行業安全技術人員給予足夠重視。