5 月 20 日消息，近日 Akamai 發布了《互聯網安全狀況報告：針對金融行業的網絡釣魚》報告。這份報告是 Akamai 與威脅情報公司 WMC Global 合作制作，這次合作研究了兩種特定的網絡釣魚工具包“Kr3pto”和“Ex-Robotos”。
報告顯示，2020 年，Akamai 在全球范圍內監測到 1930 億次撞庫攻擊，其中 34 億次攻擊針對的是金融服務機構，同比增長超過 45%。
Akamai 在 2020 年觀察到近 63 億次 Web 應用程序攻擊，其中超過 7.36 億次攻擊針對的是金融服務行業，比 2019 年增加了 62%。
對 Web 應用程序攻擊細分會發現，在全球所有業務類型中，SQL 注入(SQLi)攻擊依然高居榜首，占 2020 年所有 Web 應用程序攻擊的 68%，本地文件包含(LFI)攻擊以 22% 位居第二。然而在金融服務行業中，LFI 攻擊占比高達 52%，是 2020 年排名第一的 Web 應用程序攻擊類型。SQLi 和跨網站腳本攻擊分別占 33% 和 9%。
全行業中 SQL 注入攻擊占比最高
此外，在過去三年(2018 年至 2020 年)中，Akamai 發現針對金融服務行業的 DDoS 攻擊增加了 93%，這表明系統破壞仍然是犯罪分子的目的，因此他們往往會攻擊日常業務所需的服務和應用程序。
整體而言，從 2019 年到 2020 年，針對金融服務行業的攻擊面呈現出同比顯著增加的趨勢。
僅以此次重點研究的網絡釣魚工具包“Kr3pto”和“Ex-Robotos”為例，報告顯示，Kr3pto 網絡釣魚工具包以短信方式向金融機構及其客戶發起攻擊，自 2020 年 5 月以來，其在英國總計欺詐了 11 個品牌，涉及 8000 多個域名。在企業撞庫網絡釣魚方面，43 天內用于 Ex-Robotos 的 API IP 地址的點擊量超過 22 萬次。
Akamai 安全研究員兼《互聯網安全狀況報告》作者 Steve Ragan 認為：“撞庫攻擊數量的持續顯著增加與金融服務行業的網絡釣魚狀況有直接的關系。犯罪分子會使用各種方法來擴充其收集到的登錄憑據，而網絡釣魚則是他們攻擊手段中的關鍵工具之一。通過以該行業中的銀行客戶和員工為目標，犯罪分子令其潛在受害者的數量以指數方式增加。”
報告強調，像 Ex-Robotos 和 Kr3pto 這樣的網絡釣魚工具只是冰山一角 —— 每天都有數百種工具被開發和分發。隨著網絡釣魚攻擊及工具包的發展，防御者意識到僅僅依靠用戶名和密碼是不夠的，以零信任為代表的安全機制，限制和控制訪問，實施多層身份驗證和防御，將有助于企業更好的控制安全性。
