?近期，網(wǎng)絡(luò)攻擊事件頻頻發(fā)生。據(jù)leeping Computer網(wǎng)站消息：云通訊巨頭Twilio表示，有攻擊者利用“短信網(wǎng)絡(luò)釣魚”攻擊竊取了員工憑證，并潛入內(nèi)部系統(tǒng)泄露了部分客戶數(shù)據(jù)。

員工收到的釣魚短信

通過調(diào)查發(fā)現(xiàn)，攻擊者把自己偽裝成公司內(nèi)部的IT人員，并用此身份來向員工發(fā)送釣魚短信。其中短信內(nèi)容就是表示他們的系統(tǒng)密碼已過期，需要通過短信中的URL進行修改。之后有多少人點了該軟件、多少客戶數(shù)據(jù)受到泄露影響，目前尚未得知。

經(jīng)過一系列的研究發(fā)現(xiàn)：該URL帶有“Twilio”、“Okta”和“SSO”等具有高仿真性的字段，受害員工一旦點擊便會跳轉(zhuǎn)到一個克隆的 Twilio 登錄頁面，從而導(dǎo)致大范圍的數(shù)據(jù)泄露。

隨后，Coudflare在官方博客上發(fā)布:Coudflare的員工在twilio受到攻擊時也遭受到了非常相似的攻擊，至少有76名員工的個人或工作手機收到了釣魚短信，一些短信也發(fā)給了員工的家人。

雖還無法確定攻擊者是以何種方式收集到了員工手機號碼，但得益于Cloudflare采用了符合FIDO2標準的安全密鑰，即使攻擊者拿到了員工賬戶，在嘗試登陸時均被成功阻止。

Cloudflare也透露，釣魚短信提供了一個域名為cloudflare-okta.com的克隆登錄頁面，在該頁面上輸入憑證后，AnyDesk遠程訪問軟件會自動下載到計算機上，從而允許攻擊者遠程控制其設(shè)備。該域名是通過Porkbun注冊，和Twilio攻擊中出現(xiàn)的釣魚登錄頁面的域名系同一家注冊商。

發(fā)送給 Cloudflare 員工的網(wǎng)絡(luò)釣魚短信

“Twilio”和“Cloudflare”究竟是一家什么公司呢？為何會產(chǎn)生這么大的影響力？

其實，Twilio是美國知名的云通訊公司?？胺Q“云通訊行業(yè)的領(lǐng)頭羊”，在17 個國家和地區(qū)擁有26 個辦事處，共計 5000 多名員工，提供可編程語音、文本、聊天、視頻和電子郵件 API，被超過 1000 萬開發(fā)人員和 150000 家企業(yè)用于構(gòu)建客戶參與平臺。還在2015年2月收購了Authy，這是一家面向終端用戶、開發(fā)者和企業(yè)的流行雙因素認證（2FA）供應(yīng)商，在全球擁有數(shù)百萬用戶。

而Cloudflare是一家美國的跨國科技企業(yè)向客戶提供網(wǎng)站安全管理、性能優(yōu)化及相關(guān)的技術(shù)支持為主要業(yè)務(wù)。通過基于反向代理的內(nèi)容分發(fā)網(wǎng)絡(luò)、任播技術(shù) 、基于nginx+lua架構(gòu)的Web應(yīng)用防火墻及分布式域名解析服務(wù)等技術(shù)，可以幫助受保護站點抵御包括分布式拒絕服務(wù)攻擊在內(nèi)的大多數(shù)網(wǎng)絡(luò)攻擊，確保該網(wǎng)站長期在線，同時提升網(wǎng)站的性能、訪問速度以改善訪客體驗。

因此，這兩家公司的影響力是非常大的，如果數(shù)據(jù)遭受嚴重泄露，將導(dǎo)致全球大部分用戶信息得不到保障。

那么問題來了，什么短信網(wǎng)絡(luò)釣魚？

短信網(wǎng)絡(luò)釣魚是一個惡意的程序，主要是通過用一個足夠引人注目的事由，在內(nèi)容上附上鏈接，誘導(dǎo)你點進鏈接，專門竊取一系列的數(shù)據(jù)信息。進入后，會彈出各種窗口，讓你填寫姓名、身份證號碼、手機號碼、銀行卡號碼、手機驗證碼等相關(guān)信息，一按照要求進行操作，銀行卡上的錢將立即被盜。這類短信統(tǒng)稱為“釣魚短信”。

普通人該如何防范呢？

一看短信是否真實。

以銀行名義欺詐短信會降低消費者的警惕性。要注意辨別真假，尤其不能盲目相信異常號碼發(fā)送的短信。如果消費者不確定短信是否真實，可以咨詢銀行營業(yè)網(wǎng)點或其官方客服。

二看網(wǎng)站鏈接和頁面是否為官方渠道。

詐騙短信提供的網(wǎng)頁鏈接可能是假冒手機銀行或網(wǎng)上銀行網(wǎng)頁的釣魚鏈接，也可能是木馬病毒，不能輕易點擊操作。建議用戶在登錄手機銀行或個人網(wǎng)上銀行時，盡可能不要點擊第三方平臺所提供的網(wǎng)站鏈接操作，以防被不法分子詐騙。

三看對方索要信息是否為個人重要敏感信息。

當(dāng)?shù)谌揭筇峁┗蜉斎肷鲜鲂畔r，消費者的身份證號碼、銀行卡號碼、賬戶密碼、短信驗證碼、付款碼等都是重要而敏感的個人信息。不要輕易向他人提供重要的敏感信息，不要點擊未知的網(wǎng)站鏈接，不要在除銀行官方渠道外的網(wǎng)頁上隨意填寫重要的敏感信息。如發(fā)現(xiàn)自己上當(dāng)受騙，請立即聯(lián)系銀行凍結(jié)銀行賬戶，保存證據(jù)，及時報警。