研究人员透露，最近的一场网络钓鱼活动以Instagram技术支持为诱饵，意图窃取总部位于纽约的一家知名美国人寿保险公司的员工的登录凭证。
根据Armorblox周三发布的一份报告，这次攻击将品牌冒充与社会工程攻击相结合，并通过使用一个有效的域名设法绕过了谷歌的电子邮件安全，最终拿到了数百名员工的邮箱。
诈骗所用的网站与Instagram完全相同
网络攻击从一封简单的电子邮件开始。它伪装成是来自Instagram技术支持团队的告警，表示收件人的账户正面临着被停用的风险。根据分析，这样说的目的是为了创造一种紧迫感，同时使受害者提高对发件人的信任度。
电子邮件的内容这样写到，你已经被警告了，因为你的账号中分享了虚假的内容。你必须验证你的账号资格。如果你不能在24小时内完成验证，那么你的会员资格将会从我们的服务器中永久删除。 这条信息营造了一种紧迫感，诱使那些毫无戒心的用户点击一个恶意的账户验证链接。最终用户会被引诱到一个登录页面上，他们会被要求提交他们的Instagram账户登录信息。当然，这些信息会被直接传给恶意攻击者，而被害人自己并不知情。
研究人员指出，这些步骤中任何一点对普通终端用户来说都没有任何恶意，而且在每个过程中，从电子邮件到账户验证表，都含有Meta和Instagram的品牌和标志。
攻击者在攻击的过程中必然会留下线索。他们在钓鱼邮件的正文中犯了语法、拼写和大小写等相关错误。在发件人栏中，"Instagram支持"中的 "I "实际上是 "L"。而电子邮件域名本身是membershipform@outlook.com.tr，这显然不是来自于Instagram。
不过，域名本身是完全合法的，这也就可以使它绕过传统的垃圾邮件过滤器。而且，研究人员解释说，发件人还精心设计了一个很长的电子邮件地址，这意味着许多移动用户只会看到'@'符号之前的字符，在这种情况下'membershipform'就是一个不会引起怀疑的字符。
如何保护自己的信息安全
就在几周前，网络攻击者通过冒充DocuSign公司的电子签名软件，从一家美国支付解决方案公司窃取了微软的账户凭证。在那个案例中，也是由于攻击者巧妙地利用了品牌冒充、社会工程和能够绕过传统安全措施的有效电子邮件域名，从而导致了数百名员工的信息被泄露。
也许这两个活动被发现并已经被阻止了，但下一个攻击活动呢?或者之后的那个?还有哪些其他没有被安全团队成功识别，以至于我们没有听说过的攻击活动呢?
Armorblox在报告中提出了员工可以关注的四个主要领域，可以保护自己免受网络钓鱼的侵害。
- 避免打开你所不熟悉的电子邮件
- 加强原生电子邮件的安全性，阻止社会工程学的攻击
- 注意有针对性的攻击
- 遵循多因素认证和密码管理的原则
KnowBe4的研究人员通过电子邮件写道，为了防止这些攻击，员工应该接受安全教育，了解他们的电子邮件账户的价值。此外，员工还需要了解到使用重复密码的危险性，使用强健的密码来保护个人和组织内的账户。
即使是一个员工的失误也会给整个组织带来严重的问题，然后是供应链上的其他组织。Armorblox研究人员写道，在使用商业凭证登录多个应用程序时要谨慎，特别是在那些个人使用的社交应用程序中。这种行为可能看起来很方便，但是，只需要一次，你的敏感的个人信息和商业数据就会有被泄露的风险。
本文翻译自：https://threatpost.com/phony-instagram-support-staff-emails-hit-insurance-company/178929/如若转载，请注明原文地址。
