網(wǎng)絡(luò)釣魚 惡意軟件 供應(yīng)鏈攻擊 

　　三大網(wǎng)絡(luò)安全威脅持續(xù)頻發(fā)　

　　◎本報(bào)記者 劉 霞

　　【今日視點(diǎn)】

　　人們永遠(yuǎn)不能否認(rèn)互聯(lián)網(wǎng)帶來的福祉，它使人們的生活變得更輕松、更簡單。但網(wǎng)絡(luò)世界也充滿了各種類型的威脅。2022年上半年，全球重大網(wǎng)絡(luò)安全事件頻發(fā)，勒索軟件、數(shù)據(jù)泄露、黑客攻擊等層出不窮，且變得更具危害性，比如今年1月份，美國布勞沃德公共衛(wèi)生系統(tǒng)公布了一起大規(guī)模數(shù)據(jù)泄露事件，超過130萬人受影響。

　　隨著技術(shù)的不斷進(jìn)步，網(wǎng)絡(luò)攻擊者的攻擊成本不斷降低，同時(shí)攻擊方式更加先進(jìn)，美國《福布斯》雙周刊網(wǎng)站在近日的報(bào)道中，列出了2023年值得警惕的三大網(wǎng)絡(luò)安全威脅：網(wǎng)絡(luò)釣魚、惡意軟件、供應(yīng)鏈攻擊。

　　更多組織遭遇網(wǎng)絡(luò)釣魚

　　網(wǎng)絡(luò)釣魚仍然是全球面臨的重大網(wǎng)絡(luò)安全威脅之一。

　　網(wǎng)絡(luò)釣魚指通過大量發(fā)送聲稱來自于銀行或其他知名機(jī)構(gòu)的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息的一種攻擊方式，其唯一目的是竊取個(gè)人或組織數(shù)據(jù)，包括登錄憑據(jù)和信用卡卡號等。

　　今年人們在媒體上看到的大多數(shù)成功的網(wǎng)絡(luò)攻擊，都是從網(wǎng)絡(luò)釣魚開始的。比如，美國《紐約時(shí)報(bào)》在今年9月份援引優(yōu)步發(fā)言人的話報(bào)道稱，一名黑客入侵了該公司一名員工的辦公通訊應(yīng)用程序，并利用它向優(yōu)步員工發(fā)送消息，這名員工被說服交出了一個(gè)密碼，讓黑客得以進(jìn)入優(yōu)步內(nèi)部系統(tǒng)。

　　今年3月底，有黑客組織偽裝成政府執(zhí)法部門向互聯(lián)網(wǎng)公司套取用戶數(shù)據(jù)，以發(fā)送虛假法庭傳票的方式獲取目標(biāo)特許數(shù)據(jù)。數(shù)據(jù)勒索團(tuán)伙成功入侵了微軟、英偉達(dá)、蘋果等巨頭內(nèi)網(wǎng)竊取數(shù)據(jù)，包括用戶的基本信息，如家庭住址、電話號碼、IP地址等。

　　今年4月，電子郵件營銷公司MailChimp披露其遭到黑客攻擊，黑客利用內(nèi)部客戶支持和賬戶管理工具竊取用戶數(shù)據(jù)，并進(jìn)行網(wǎng)絡(luò)釣魚攻擊。

　　美國的一項(xiàng)研究顯示，與前一年相比，2021年有更多組織至少遭遇了一次基于電子郵件的網(wǎng)絡(luò)釣魚攻擊。這一趨勢預(yù)計(jì)將在2023年繼續(xù)。

　　軟件勒索事態(tài)惡化

　　惡意軟件是以惡意意圖編寫的軟件的統(tǒng)稱，包括病毒軟件、勒索軟件和間諜軟件。惡意軟件威脅可能會導(dǎo)致計(jì)算機(jī)系統(tǒng)、服務(wù)器或公司網(wǎng)絡(luò)中斷，還可能導(dǎo)致私人信息泄露。

　　目前，世界上最流行的惡意軟件攻擊類型之一就是勒索軟件攻擊。攻擊者獲得對信息或系統(tǒng)的未經(jīng)授權(quán)訪問，或完全剝奪用戶對信息的訪問權(quán)限，直到公司或用戶向黑客支付一定金額的錢，才能恢復(fù)對數(shù)據(jù)的訪問或解密。

　　例如今年1月，美國新墨西哥州最大的縣就受到勒索軟件攻擊的影響，導(dǎo)致多個(gè)公共事業(yè)部門和政府辦公室系統(tǒng)下線，此次勒索軟件攻擊還致使監(jiān)獄系統(tǒng)下線。今年2月底，全球芯片制造巨頭英偉達(dá)被曝遭到勒索軟件攻擊，入侵者成功訪問并在線泄露了員工私密信息及登錄數(shù)據(jù)，黑客向英偉達(dá)索取100萬美元的贖金和一定比例的未指明費(fèi)用。

　　除了對系統(tǒng)的訪問被阻止外，實(shí)施惡意軟件攻擊的犯罪者還可能在網(wǎng)上發(fā)布機(jī)密數(shù)據(jù)。比如今年3月，國際黑客組織“匿名者”宣布，他們成功入侵了全球最大食品制造商雀巢公司的網(wǎng)絡(luò)，并披露了10吉字節(jié)的敏感數(shù)據(jù)，包括公司電子郵件、密碼和與商業(yè)客戶相關(guān)的數(shù)據(jù)。相關(guān)數(shù)據(jù)顯示，2020年全球超過1000家公司因未向勒索軟件要求低頭而遭到數(shù)據(jù)泄露。

　　瑞士網(wǎng)絡(luò)安全公司Acronis此前發(fā)布警告說：“勒索軟件事態(tài)正在惡化，甚至比我們預(yù)期的還要嚴(yán)重，預(yù)計(jì)到2023年，全球勒索軟件損失將超過300億美元�！�

　　供應(yīng)鏈攻擊呈爆發(fā)增長

　　《福布斯》雙周刊網(wǎng)站在報(bào)道中指出，許多公司花費(fèi)時(shí)間和金錢來保護(hù)外圍和內(nèi)部系統(tǒng)，但很少關(guān)注第三方——包括供應(yīng)商、合作伙伴、承包商和服務(wù)提供商的網(wǎng)絡(luò)安全，網(wǎng)絡(luò)供應(yīng)鏈攻擊因此趁虛而入。

　　供應(yīng)鏈攻擊指的是對于供應(yīng)鏈所發(fā)動的網(wǎng)絡(luò)攻擊。攻擊者會將供應(yīng)鏈作為攻擊對象，先攻擊供應(yīng)鏈中安全防護(hù)相對薄弱的企業(yè)，再利用供應(yīng)鏈之間的相互連接，如軟件供應(yīng)、開源應(yīng)用等，將風(fēng)險(xiǎn)擴(kuò)大至上下游企業(yè)，產(chǎn)生攻擊漣漪效應(yīng)和巨大的破壞性。供應(yīng)鏈攻擊的手段包括：利用第三方應(yīng)用程序、利用開放源代碼庫中包含的漏洞等等。供應(yīng)鏈攻擊往往牽涉到更多的企業(yè)，且更具破壞性，甚至?xí)�給整個(gè)行業(yè)帶來巨大的影響。

　　近年來，供應(yīng)鏈攻擊事件呈現(xiàn)爆發(fā)增長的態(tài)勢，歐洲網(wǎng)絡(luò)和信息安全局發(fā)布的《供應(yīng)鏈攻擊的威脅分析》報(bào)告指出，和2020年相比，2021年供應(yīng)鏈攻擊已經(jīng)顯著提升。以色列一項(xiàng)研究表明，與2020年相比，2021年軟件供應(yīng)鏈攻擊增長了300%以上，這一趨勢預(yù)計(jì)還會持續(xù)增加。