一封「hr緊急通知」郵件，請你立即打開確認。
一條來自「it支持」的短訊：「您的ai助手訂閱即將過期，點擊續訂以免服務中斷。」
一個偽裝成同事的賬號私信你：「請於今日下班前，點擊鏈接填寫本次申報表。」
這些看似平常、合理的信息，可能是當下十分猖獗的網絡攻擊手段——新型釣魚攻擊的典型偽裝。
隨着大數據、人工智能技術的快速發展，網絡釣魚攻擊花樣翻新，呈現智能化、精準化、隱蔽化趨勢，針對政府單位、大型央國企、醫療機構等進行大規模攻擊，已造成不同程度的信息泄露、經濟損失和安全威脅。
新型釣魚攻擊
有哪些特點
人工智能技術融合與多模態滲透
攻擊者通過生成式人工智能技術實現語義偽裝升級，比如，釣魚誘餌高度貼合「放假安排」「所得稅彙算清繳」等我國社會和經濟活動的周期性事件，甚至偽造政府部門通知，增加用戶緊迫感和好奇心。與此同時，攻擊載體也從傳統文本擴展至語音、視頻、二維碼等多模態形式。
2024年1月，江蘇無錫某公司財務人員點擊群聊里的「2024年1月稅務稽查局企業搜查名單」鏈接，導致電腦被木馬病毒入侵且被遠程控制、竊密。
精準畫像與供應鏈滲透
當前，釣魚攻擊的精準度正在發生質的飛躍，傳統的大規模群髮式釣魚郵件已式微，取而代之的是利用開源情報構建目標人物行為圖譜，比如，針對科研人員發送「學術會議通知」，針對財務人員偽造「緊急付款指令」，識別難度呈指數級上升。
更值得警惕的是，攻擊者已不滿足於單點突破，而將目光投向供應鏈的薄弱環節。西北能源基地dns篡改事件中，某境外組織入侵設備供應商系統，在合法軟件更新中植入惡意代碼，藉此篡改能源基地核心路由器的dns配置，最終引發區域性服務中斷。
隱蔽性提升與對抗性增強
即時通信軟件的高頻使用，讓攻擊者找到了更隱蔽的滲透路徑。與郵件相比，即時消息更具緊迫感和隨意性，人們往往在碎片時間快速瀏覽，降低了審慎核查的意願。攻擊者常以「緊急」「幫個忙」等話術製造心理壓力，誘導接收者在未經驗證的情況下執行操作。
此外，攻擊者還通過「時間對抗」技術延遲釣魚頁面加載以繞過檢測。具體來說，攻擊者發送誘導郵件，用戶初次訪問時，頁面會以「當前非工作時間」等話術提示在特定時段（如次日早7點後）操作，當用戶在指定時間進行操作，信息就會被竊取。傳統檢測技術因初次檢測無異常且不會延時跟蹤訪問，誤判其為正常內容，釣魚攻擊因此得以實施。
新型釣魚攻擊該如何防？
個人層面：強化生物特徵與行為防護。避免在社交媒體、不明鏈接上傳人臉、聲紋、指紋等生物信息，可使用手機pin碼+硬件密鑰組合驗證，降低生物數據泄露風險；不隨意點擊陌生鏈接、附件，不輕信社交媒體傳播的「工作通知」「放假安排」及相關工作文件和鏈接，應通過官方渠道進行核實。
機構層面：構建精細化防範機制。對供應鏈開展穿透式安全監管，對關鍵信息基礎設施供應商實施代碼審計和漏洞溯源；對數據實施「加密+脫敏+訪問控制」三重防護，使用殺毒軟件、防火牆、郵件過濾工具；啟用多因素認證，將可疑文件上傳至國家病毒協同分析平台進行安全檢測，並保持防病毒軟件實時監控功能開啟。
社會層面：強化安全保密意識培養。採用線下宣講、情景短劇、遊戲互動等方式，圍繞保密法規、網絡釣魚、信息保護等方面開展安全保密宣教活動；定期開展釣魚郵件演練，組織模擬攻擊沉浸式培訓；建立釣魚郵件舉報獎勵機制，開通多渠道舉報通道，築牢網絡安全「防火牆」。
