哦，亲爱的。 不再这样。 6800万个Tumblr帐户被溅到了暗网上，并以0.452比特币的微不足道的价格出售。在撰写本文时，大约是$ 240。
乍一看，您可以在此数据泄漏与两周前的LinkedIn泄漏之间进行对比。首先，两个数据集都非常老。 LinkedIn违规可追溯至2012年，Tumblr违规可追溯至2013年。两个数据集都是巨大，并且都是由同一个人- Peace_Of_Mind 在黑暗网络中列出的。
相似之处就此结束，因为尽管LinkedIn未能正确保护其密码，但Tumblr的（相对）强大的SHA-1加密得到了保护。这意味着攻击者几乎没有机会闯入其Tumblr帐户，或在Facebook，PayPal或Twitter等其他服务上回收登录组合。
但有一个缺点。 购买了转储的攻击者现在拥有6800万个经过验证的活动电子邮件帐户的列表。这意味着，任何陷入其中的用户都更有可能遭受网络钓鱼和基于电子邮件的攻击。
那么，2016年网络钓鱼的情况如何？您可以采取哪些步骤来保护自己？
网络钓鱼是否成功
如果您没有从Vice的主板上看到报告，您可能会认为网络钓鱼是1990年代和2000年代的尘土飞扬的遗迹，回想起Internet的新颖婴儿期，却没人真正知道事情是如何运作的，这是可以原谅的。当然，您认为，没有人会再因网络钓鱼邮件而倒下。
统计数据将倾向于不同意。首先，网络钓鱼电子邮件仍在大量发送。根据卡巴斯基（Kaspersky）拥有的SecureList，网络钓鱼和垃圾邮件占2015年第三季度发送的所有电子邮件的54.2％。与上一季度相比略有下降，但仍然是可观的数量。
—卡巴斯基实验室（@kaspersky），2015年11月12日
网络钓鱼电子邮件的最大来源是美国，其次是越南，中国和俄罗斯。有趣的是，受网络钓鱼影响最大的国家是巴西，其次是日本，中国和越南。美国-对此也没有其他发达的西方国家-排名前十。
但是，尽管恶意电子邮件和垃圾邮件的总数有所下降，但网络钓鱼电子邮件的数量却很少已经飙升了。根据赛门铁克的数据，2015年1月，网络钓鱼电子邮件的比例从1,517封电子邮件中的一种上升到1,004封电子邮件中的一种。
反垃圾邮件变得越来越聪明，但网络钓鱼电子邮件也越来越智能
早在1990年代和2000年代，反垃圾邮件软件还不成熟，几乎不适合使用。许多程序除了寻找关键字（例如“ viagra"）外，几乎没有做任何事情，并且将包含这些关键字的任何电子邮件都丢弃了。垃圾邮件发送者和网络钓鱼者通过故意拼错关键字列表中的单词来绕过它们。因此，“伟哥"变成了“ v1agra"，然后变成了“ v1agr4"，然后变成了“ v1a8r4"。您知道了。
有些人变得更有创造力，开始在图像和特殊颜色的表格中隐藏单词。
最终结果是用户实际上是 在寻找关键字之后，垃圾邮件过滤器开始研究诸如电子邮件的来源以及其他用户对类似性质的电子邮件的行为。 垃圾邮件发送者没有放弃。实际上，根据Securelist的说法，他们变得越来越聪明，并且发现网络钓鱼电子邮件变得越来越困难。 Securelist报告中提到的一件事是，垃圾邮件发送者经常采用季节性方法来处理垃圾邮件和网络钓鱼。在夏季，它注意到以旅行为主题的网络钓鱼电子邮件的数量激增。 “ 7月份，欺诈者试图通过代表酒店发送虚假通知来欺骗用户。该消息感谢收件人在酒店住宿，并要求他们查看所附的账单。附件中的档案实际上包含Trojan-Downloader.Win32.Upatre.dhwi，后者通过单击链接下载并运行了Trojan-Banker.Win32.Dyre（查看为98. ***。**。39 / cv17.rar）。 一种绕过反垃圾邮件程序的策略是将所有内容都放入PDF文件中，然后由用户打开。之所以有效，是因为以编程方式“读取" PDF文件非常困难。 — JaromirHorejsi（@JaromirHorejsi），2016年1月18日 当反垃圾邮件过滤器明智地运用了这一技巧时，垃圾邮件发送者开始使用附加的PDF文件中的mediabox对象，单击鼠标即可打开PDF文档中的元素。它们可用于将用户重定向到网络钓鱼网站。 — Mohtashim Nomani（@ mohtashim712）2015年9月18日 此猫捉老鼠游戏没有结局的迹象，有明显的赢家。实际上，战争可能会加剧。 ，以保护其用户免受网络钓鱼电子邮件的侵害，在线服务（尤其是在线银行服务） —已习惯使用用户独有的小“令牌"自定义其电子邮件。我使用的银行之一在所有电子信件中都包含我帐号的最后三位数字。另一个将我的邮政编码的前三个字符放在所有电子邮件的顶部。 这是您应该一直寻找的东西。 有趣的是，攻击者还开始将电子邮件个性化到更有效。我注意到的一件事是，某些网络钓鱼电子邮件已开始使用电子邮件地址的第一部分（“ @"之前的所有内容）并将其放入称呼中。我的工作电子邮件是'[email protected]'，所以这些电子邮件将以'Dear mhughes'开头。 我们使用的服务正在与我们的移动设备链接。有些服务会要求您提供电话号码，以设置两因素身份验证。其他人会要求与您共享信息。 网站不会像使用密码那样保护手机号码。这样做的原因是，当您对密码进行哈希加盐处理后，就变得无法读取了。为了使站点能够发送消息或拨打电话，他们必须使其不受保护。 这个事实，加上Twilio，Nexmo和Plivo等极其便宜（完全合法）的短信服务，（人们对此不太怀疑），这意味着攻击者越来越依赖SMS作为攻击媒介。 这种类型的攻击的名称是：欺骗，而网络钓鱼称为“欺骗"。 如果您不知道自己是否在Tumblr转储中，则可以前往Troy Hunt的“我被盗"了。 如果，最好重设密码，并在所有帐户上设置两因素身份验证。但更重要的是，您应该将可疑程度提高到11 。我毫不怀疑，受影响的用户将在未来几周内看到垃圾邮件和网络钓鱼电子邮件的增加。他们看起来很有说服力。为了保持安全，Tumblr用户需要开始以健康的怀疑态度对待所有入站电子邮件。 您是否被泄漏所困扰？有任何可疑的电子邮件吗？在下面的评论中让我知道。 图片来源：HTML表格位图（Niels Heidenreich）合法服务自定义其电子邮件，但攻击者也可以自定义电子邮件
短信-网络钓鱼的下一个领域
