近日 Akamai 发布了《互联网安全状况报告：针对金融行业的网络钓鱼》报告。这份报告是 Akamai 与威胁情报公司 WMC Global 合作制作，这次合作研究了两种特定的网络钓鱼工具包“Kr3pto”和“Ex-Robotos”。
报告显示，2020 年，Akamai 在全球范围内监测到 1930 亿次撞库攻击，其中 34 亿次攻击针对的是金融服务机构，同比增长超过 45%。
Akamai 在 2020 年观察到近 63 亿次 Web 应用程序攻击，其中超过 7.36 亿次攻击针对的是金融服务行业，比 2019 年增加了 62%。
对 Web 应用程序攻击细分会发现，在全球所有业务类型中，SQL 注入(SQLi)攻击依然高居榜首，占 2020 年所有 Web 应用程序攻击的 68%，本地文件包含(LFI)攻击以 22% 位居第二。然而在金融服务行业中，LFI 攻击占比高达 52%，是 2020 年排名第一的 Web 应用程序攻击类型。SQLi 和跨网站脚本攻击分别占 33% 和 9%。
全行业中 SQL 注入攻击占比最高
此外，在过去三年(2018 年至 2020 年)中，Akamai 发现针对金融服务行业的 DDoS 攻击增加了 93%，这表明系统破坏仍然是犯罪分子的目的，因此他们往往会攻击日常业务所需的服务和应用程序。
整体而言，从 2019 年到 2020 年，针对金融服务行业的攻击面呈现出同比显著增加的趋势。
仅以此次重点研究的网络钓鱼工具包“Kr3pto”和“Ex-Robotos”为例，报告显示，Kr3pto 网络钓鱼工具包以短信方式向金融机构及其客户发起攻击，自 2020 年 5 月以来，其在英国总计欺诈了 11 个品牌，涉及 8000 多个域名。在企业撞库网络钓鱼方面，43 天内用于 Ex-Robotos 的 API IP 地址的点击量超过 22 万次。
Akamai 安全研究员兼《互联网安全状况报告》作者 Steve Ragan 认为：“撞库攻击数量的持续显著增加与金融服务行业的网络钓鱼状况有直接的关系。犯罪分子会使用各种方法来扩充其收集到的登录凭据，而网络钓鱼则是他们攻击手段中的关键工具之一。通过以该行业中的银行客户和员工为目标，犯罪分子令其潜在受害者的数量以指数方式增加。”
报告强调，像 Ex-Robotos 和 Kr3pto 这样的网络钓鱼工具只是冰山一角 ——每天都有数百种工具被开发和分发。随着网络钓鱼攻击及工具包的发展，防御者意识到仅仅依靠用户名和密码是不够的，以零信任为代表的安全机制，限制和控制访问，实施多层身份验证和防御，将有助于企业更好的控制安全性。
