海淘時(shí)最容易受到哪些網(wǎng)絡(luò)安全威脅？
cc 1. 電子郵件附件里的好東西都是送你的，要不要?
可能躺在用戶(hù)收件箱里誘惑最大郵件是偽裝成贈(zèng)送電子禮品卡、優(yōu)惠券的一些了。
點(diǎn)擊其中附件將下載包含惡意Office宏代碼的Word，然后用戶(hù)打開(kāi)該文檔是就會(huì)將Geodo/Emotet網(wǎng)銀木馬釋放到本地，或者讓受害者接受退款、進(jìn)行支付等。危害最大的還是針對(duì)品牌商的網(wǎng)絡(luò)攻擊，通過(guò)接管管理員賬戶(hù)來(lái)進(jìn)行針對(duì)旗下用戶(hù)的大面積的魚(yú)叉式網(wǎng)網(wǎng)絡(luò)釣魚(yú)攻擊。
2. 惡意廣告：點(diǎn)我你就上當(dāng)了
隨著各大品牌在年底消耗最后一波預(yù)算，惡意廣告在網(wǎng)絡(luò)購(gòu)物季期間也變得更加活躍。
投放惡意廣告的人都是機(jī)會(huì)主義者，他們也會(huì)根據(jù)當(dāng)前的環(huán)境增加投入、調(diào)整投放的頻次和位置來(lái)獲取更多的黑色利益。只要投資回報(bào)率還可以，他們的商業(yè)模式或者說(shuō)是黑產(chǎn)的雪球就會(huì)越滾越大，將數(shù)據(jù)、受感染的設(shè)備大量變現(xiàn)，甚至將業(yè)務(wù)出租給別人。在2018年美國(guó)感恩節(jié)假期期間，光某一家安全廠(chǎng)商就檢測(cè)到和阻止了2000萬(wàn)次攻擊。攻擊者在大量的網(wǎng)絡(luò)平臺(tái)之間不斷切換，平臺(tái)管理員往往疲于應(yīng)對(duì)且效果不佳。
3.水坑攻擊
水坑攻擊是一種看似簡(jiǎn)單但成功率較高的網(wǎng)絡(luò)攻擊方式。攻擊目標(biāo)多為特定的團(tuán)體(組織、行業(yè)、地區(qū)等)。攻擊者首先通過(guò)猜測(cè)(或觀察)確定這組目標(biāo)經(jīng)常訪(fǎng)問(wèn)的網(wǎng)站，然后入侵其中一個(gè)或多個(gè)網(wǎng)站，植入惡意軟件。在目標(biāo)訪(fǎng)問(wèn)該網(wǎng)站時(shí)，會(huì)被重定向到惡意網(wǎng)址或觸發(fā)惡意軟件執(zhí)行，導(dǎo)致該組目標(biāo)中部分成員甚至全部成員被感染。按照這個(gè)思路，水坑攻擊其實(shí)也可以算是魚(yú)叉式釣魚(yú)的一種延伸。
目前多數(shù)國(guó)內(nèi)外電商使用的廣告網(wǎng)絡(luò)平臺(tái)是實(shí)施水坑攻擊的有效途徑。水坑攻擊可以通過(guò)攻擊目標(biāo)網(wǎng)站使用的廣告網(wǎng)絡(luò)來(lái)執(zhí)行。這涉及將惡意網(wǎng)站廣告或者惡意廣告 (文字或圖片)插入到將被傳送到不同網(wǎng)站的跳轉(zhuǎn)廣告。由于大部分網(wǎng)站都使用同一廣告網(wǎng)絡(luò)，因此布設(shè)攻擊網(wǎng)絡(luò)時(shí)可以達(dá)到事半功倍的效果。
在網(wǎng)絡(luò)購(gòu)物季期間，越來(lái)越多的水坑攻擊案例浮出水面。這種攻擊方式付出的精力要比交叉式網(wǎng)絡(luò)釣魚(yú)多，以前多用于商業(yè)間諜、國(guó)家間的網(wǎng)絡(luò)暗戰(zhàn)等領(lǐng)域?，F(xiàn)在，攻擊者正在使用這種技術(shù)來(lái)瞄準(zhǔn)大品牌和忠于它們的客戶(hù)。水坑攻擊應(yīng)當(dāng)成為是電子商務(wù)網(wǎng)站的主要關(guān)注點(diǎn)，在面對(duì)這些攻擊時(shí)，不僅僅是IT部門(mén)要出錢(qián)出力，網(wǎng)站、Web管理員、市場(chǎng)部門(mén)也不能袖手旁觀， 隨著水坑攻擊面的擴(kuò)大，現(xiàn)在網(wǎng)絡(luò)安全技術(shù)問(wèn)題已經(jīng)演變品牌聲譽(yù)問(wèn)題了。
最典型的例子是JSONP，它可以通過(guò)發(fā)起JavaScript的跨域請(qǐng)求來(lái)繞過(guò)同源策略。然而，繞過(guò)同源策略會(huì)導(dǎo)致不同源或域之間的數(shù)據(jù)泄漏。而且，尤其是當(dāng)JSONP涉及到了用戶(hù)的數(shù)據(jù)信息時(shí)，這樣是極其危險(xiǎn)的。既然JSONP請(qǐng)求/回應(yīng)能夠繞過(guò)同源策略，那么惡意網(wǎng)站便能夠通過(guò)這種機(jī)制，讓目標(biāo)主機(jī)發(fā)起跨域JSONP請(qǐng)求，并使用”腳本”標(biāo)簽來(lái)讀取用戶(hù)的隱私數(shù)據(jù)。
