研究人员透露，最近的在线钓鱼活动是为了Instagram以技术支持为诱饵，旨在窃取总部位于纽约的美国著名人寿保险公司的员工登录凭证。
根据Armorblox周三发布的一份报告，这次攻击将品牌冒充与社会工程攻击相结合，并通过使用一个有效的域名设法绕过了谷歌的电子邮件安全，最终拿到了数百名员工的邮箱。
欺诈网站和Instagram完全相同
网络攻击从一封简单的电子邮件开始。它伪装成来自Instagram技术支持团队的警告称，收件人的账户正面临被停用的风险。根据分析，目的是创造紧迫感，提高受害者对发件人的信任。
电子邮件的内容是这样写的，你已经被警告了，因为你的账户分享了虚假的内容。您必须验证您的帐户资格。如果您不能在24小时内完成验证，您的会员资格将永久从我们的服务器中删除。这些信息创造了一种紧迫感，诱使那些毫无戒心的用户点击恶意的账户验证链接。最后，用户将被引诱到登录页面，并被要求提交Instagram帐户登录信息。当然，这些信息会直接传递给恶意攻击者，受害者自己也不知道。
研究人员指出，这些步骤中的任何一个对普通终端用户都没有恶意，在每个过程中，从电子邮件到账户验证表Meta和Instagram的品牌和标志。
攻击者在攻击过程中必然会留下线索。他们在钓鱼邮件的文本中犯了语法、拼写和大小写错误。在发件人栏，"Instagram支持"中的 "I "实际上是 "L"。电子邮件域名本身就是membershipform@outlook.com.tr，这显然不是来自Instagram。
然而，域名本身是完全合法的，它可以绕过传统的垃圾邮件过滤器。此外，研究人员解释说，发件人还精心设计了一个长电子邮件地址，这意味着许多移动用户只会看到‘@在这种情况下，符号前的字符membershipform一个不会引起怀疑的字符。
如何保护自己的信息安全？
就在几周前，网络攻击者冒充DocuSign该公司的电子签名软件从一家美国支付解决方案公司窃取了微软的账户凭证。在这种情况下，攻击者巧妙地使用了可以绕过传统安全措施的品牌假装、社会工程和有效的电子邮件域名，导致数百名员工的信息泄露。
也许这两个活动已经被发现并被阻止了，但下一个攻击呢？还是那个？还有什么其他的攻击活动没有被安全团队成功识别，我们没有听说过？
Armorblox报告中提出了员工可以关注的四个主要领域，可以保护自己免受网络钓鱼的侵害。
- 避免打开你不熟悉的电子邮件
- 加强原电子邮件安全，防止社会工程攻击
- 注意有针对性的攻击
- 遵循多因素认证和密码管理的原则
KnowBe4研究人员通过电子邮件写道，为了防止这些攻击，员工应该接受安全教育，了解他们的电子邮件账户的价值。此外，员工还需要了解使用重复密码的风险，并使用强大的密码来保护个人和组织中的账户。
即使是员工的错误也会给整个组织带来严重的问题，然后是供应链中的其他组织。Armorblox研究人员写道，在使用商业凭证登录多个应用程序时要小心，特别是在个人使用的社交应用程序中。这种行为可能看起来很方便，但只需要一次，你敏感的个人信息和商业数据就有泄露的风险。
本文翻译自：https://threatpost.com/phony-instagram-support-staff-emails-hit-insurance-company/178929/如果转载，请注明原始地址。