2018年12月07日
前言
11月、12月都是一場網絡購物季的狂歡，無論是國內的”雙十一“、”雙十二“，還是美國的”黑五“和”網絡星期一“，參與人數和創造的銷售額每年都在刷新紀錄，有錢的捧個錢場，沒錢的捧個人場，國內的買完了就去買國外的。在雙十一期間，很多國內安全團隊和安全實驗室都發布了安全購物指南，有的談消費者如何避免成為網絡欺詐的受害者，有的幫助真心賣貨的商家抵御惡意羊毛黨，還有的聊了網絡購物季背后的地下黑產。
在這篇文章里，國內網絡購物的安全情況就不再贅述了，主要聊聊美國購物季上網絡黑手的兩大套路，幫助伙伴們在跨洋消費時規避網絡安全風險。
網絡釣魚
Carbon Black的《假日網絡安全》研究報告指出，魚叉式網絡釣魚攻擊占比最高，通常是將包含惡意代碼\軟件的文件偽裝成正常業務往來郵件的附件，或是引誘用戶點擊郵件內容中的惡意鏈接。以前類似的網絡攻擊主要針對消費者個人，現在有轉向大品牌工作人員、供應鏈合作伙伴的趨勢，直接瞄準以百萬計的客戶記錄和信用卡號碼，受損企業往往要付出極高的成本來解決相關事件。
電子郵件對于國外本土消費者和我國海購黨來說是主要的信息傳遞和確認渠道，在購物季用戶的郵箱常常塞滿了各種確認函、活動邀請、發貨清單或者通知之類的主題郵件，網絡犯罪分子正是利用這一點，采用長得很像的電子郵件地址或者直接偽造大大品牌客服郵箱來群發假冒上述主題的郵件。
1. 附件里的好東西都是送你的，要不要?
可能躺在用戶收件箱里誘惑最大郵件是偽裝成贈送電子禮品卡、優惠券的一些了。
點擊其中附件將下載包含惡意Office宏代碼的Word，然后用戶打開該文檔是就會將Geodo/Emotet網銀木馬釋放到本地，或者讓受害者接受退款、進行支付等。危害最大的還是針對品牌商的網絡攻擊，通過接管管理員賬戶來進行針對旗下用戶的大面積的魚叉式網網絡釣魚攻擊。
2. 惡意廣告：點我你就上當了
隨著各大品牌在年底消耗最后一波預算，惡意廣告在網絡購物季期間也變得更加活躍。
投放惡意廣告的人都是機會主義者，他們也會根據當前的環境增加投入、調整投放的頻次和位置來獲取更多的黑色利益。只要投資回報率還可以，他們的商業模式或者說是黑產的雪球就會越滾越大，將數據、受感染的設備大量變現，甚至將業務出租給別人。在2018年美國感恩節假期期間，光某一家安全廠商就檢測到和阻止了2000萬次攻擊。攻擊者在大量的網絡平臺之間不斷切換，平臺管理員往往疲于應對且效果不佳。
水坑攻擊
水坑攻擊是一種看似簡單但成功率較高的網絡攻擊方式。攻擊目標多為特定的團體(組織、行業、地區等)。攻擊者首先通過猜測(或觀察)確定這組目標經常訪問的網站，然后入侵其中一個或多個網站，植入惡意軟件。在目標訪問該網站時，會被重定向到惡意網址或觸發惡意軟件執行，導致該組目標中部分成員甚至全部成員被感染。按照這個思路，水坑攻擊其實也可以算是魚叉式釣魚的一種延伸。
目前多數國內外電商使用的廣告網絡平臺是實施水坑攻擊的有效途徑。水坑攻擊可以通過攻擊目標網站使用的廣告網絡來執行。這涉及將惡意網站廣告或者惡意廣告 (文字或圖片)插入到將被傳送到不同網站的跳轉廣告。由于大部分網站都使用同一廣告網絡，因此布設攻擊網絡時可以達到事半功倍的效果。
在網絡購物季期間，越來越多的水坑攻擊案例浮出水面。這種攻擊方式付出的精力要比交叉式網絡釣魚多，以前多用于商業間諜、國家間的網絡暗戰等領域。現在，攻擊者正在使用這種技術來瞄準大品牌和忠于它們的客戶。水坑攻擊應當成為是電子商務網站的主要關注點，在面對這些攻擊時，不僅僅是IT部門要出錢出力，網站、Web管理員、市場部門也不能袖手旁觀， 隨著水坑攻擊面的擴大，現在網絡安全技術問題已經演變品牌聲譽問題了。
最典型的例子是JSONP，它可以通過發起JavaScript的跨域請求來繞過同源策略。然而，繞過同源策略會導致不同源或域之間的數據泄漏。而且，尤其是當JSONP涉及到了用戶的數據信息時，這樣是極其危險的。既然JSONP請求/回應能夠繞過同源策略，那么惡意網站便能夠通過這種機制，讓目標主機發起跨域JSONP請求，并使用”腳本”標簽來讀取用戶的隱私數據。
怎么辦
在個人平時使用網絡銀行和網上購物的過程中，可以做到以下幾點來防范網絡釣魚和水坑攻擊：
在登陸不是經常訪問的銀行網站時，要注意核對最終的跳轉頁面與原始鏈接的區別，觀察是否存在多級跳躍。當發生這種情況的時候，容易進人釣魚網站。
在收到其他朋友或者陌生人傳來的即時在線消息的時候，要注意查看跳轉地址是否與真實地址一致。有時候這些消息還有可能是由聊天bot發出的。這時候與朋友取得其他途徑的聯系來核對時最有效的辦法。
收到陌生人發送的電子郵件時，并察覺到任何異常時，比如鎖定的網頁地址，透明的窗口等異常時，一定要及時停止操作，這樣就不會被攻擊者利用，從而避免經濟損失。
小編覺得能夠做到以上幾點的普通用戶并不多，哪怕做到了還是難以徹底防范這兩種攻擊方式。如果真的買了很多東西：
一則是打開本地安全軟件的郵件和流量掃描功能為好;
二則當在線郵箱提示郵件內容或附件不安全時，真的不要打開，不能當成注冊機、破解補丁常說的“請把我加入白名單，某衛士都是誤報”之類的來處理。
江蘇國駿信息科技有限公司在信息網絡安全、運維平臺建設、動漫設計、軟件研發、數據中心領域具備十多年的行業沉淀。公司遵循信息安全整體性的IATF模型，從“人員素養”、“制度流程”、“技術產品”三個視角提供全面、可信的方案，業務涵蓋咨詢、評估、規劃、管控、建設、培訓等。
江蘇國駿信息科技有限公司——全面可信的信息安全服務商。