为什么钓鱼攻击比以往任何时候都严重

职业罪犯朝九晚五上班，也交税，也有周末和假期。他们就职的公司雇用着几十到几百名员工。这些员工有着明确的分工：市场团队负责寻找希望窃取某个公司信息的客户；研究和监测团队收集目标公司组织架构、业务伙伴、软件版本、当前项目、可从互联网访问的服务器等方面的信息；初始攻击团队负责在目标组织内建立锚点。还有一些其他的团队，比如后门团队。总之，职业罪犯有着高超的专业技能，并通过分工合作达到窃取信息的目的。

钓鱼邮件经常是来自某个与受害人每天都有邮件往来的人。这类邮件经常看上去像是来自老板、团队负责人或其他某位高层管理人员，使受害人更容易打开邮件及按邮件内容行事。邮件也可能来自外部，但邮箱账号与某个权威人士的邮箱账号类似。

攻击者花时间研究了受害人，或者控制了受害人公司里某位同事的邮件。他发送的邮件中包含了当前的项目信息。例如，主题中包含“这是关于 XYZ 的报告”，或者“我对你发送的报告进行了修改”，等等。

攻击者通过监控公司内的电子邮件账户获取必要的语境信息，并以此欺骗受害人的同事，从而监控公司内最敏感、最有价值的信息。如果发现公司遭到黑客入侵，那么要假设所有的 C 级雇员和 VIP 邮件都遭到了入侵。

攻击者会拦截并修改邮件，比如，删除关键收件人，添加其他收件人，关闭加密和签名，修改邮件内容，等等。

攻击者会针对攻击目标专门定制工具，或者使用操作系统内置的程序，反恶意软件扫描程序很难发现。使用受害人操作系统内置脚本语言（PowerShell、PHP 等）编写恶意脚本，正快速成为攻击者的一个工具选项。PowerShell 甚至出现在了恶意软件工具包里。

恶意软件会使用 SSL/TLS 443 端口及行业认可的军用级 AES 加密技术，使得 443 端口的流量非常难以检查。许多公司借助防火墙和其它网络安全设备将入侵者的 443 数字证书替换成自己的证书，然后再检查 443 端口的流量。但如果数据使用 AES 进一步加密，那么这种方法就失效了。

攻击者使用命令行、脚本命令等不容易产生事件日志的技术，或者在攻击完成后删除日志。部分更有经验的攻击者会使用 rootkit 程序修改操作系统，让它跳过恶意工具的任何执行实例。

职业犯罪组织在受害人公司潜伏的时间通常要以月或年计。威瑞森数据泄露调查报告显示，大多数内部漏洞都是由外部组织发现的。在多数情况下，那是因为这些组织多年来也存在信息泄露，他们在调查取证的过程中发现，攻击者以其为跳板侵入了其它公司。

攻击者通常在国外，超出了受害人所在国的法定管辖区。即使确定了发起攻击的公司，找到了相应的黑客，那也可能没什么用。当然，攻击者不愿意被发现，但即使被发现了，他们也不会离开，而是公开地继续黑客行为，同受害人玩猫和老鼠的游戏。而在开始的时候，受害人并不知道攻击者采用多少种入侵方式。