5 月 20 日訊息，近日 Akamai 釋出了《網際網路安全狀況報告：針對金融行業的網路釣魚》報告。這份報告是 Akamai 與威脅情報公司 WMC Global 合作製作，這次合作研究了兩種特定的網路釣魚工具包“Kr3pto”和“Ex-Robotos”。

報告顯示，2020 年，Akamai 在全球範圍內監測到 1930 億次撞庫攻擊，其中 34 億次攻擊針對的是金融服務機構，同比增長超過 45%。

Akamai 在 2020 年觀察到近 63 億次 Web 應用程式攻擊，其中超過 7.36 億次攻擊針對的是金融服務行業，比 2019 年增加了 62%。

對 Web 應用程式攻擊細分會發現，在全球所有業務型別中，SQL 注入（SQLi）攻擊依然高居榜首

全行業中 SQL 注入攻擊佔比最高

▲ 在金融服務行業中，LFI 攻擊佔比最高

此外，在過去三年（2018 年至 2020 年）中，Akamai 發現針對金融服務行業的 DDoS 攻擊增加了 93%，這表明系統破壞仍然是犯罪分子的目的，因此他們往往會攻擊日常業務所需的服務和應用程式。

整體而言，從 2019 年到 2020 年，針對金融服務行業的攻擊面呈現出同比顯著增加的趨勢。

僅以此次重點研究的網路釣魚工具包“Kr3pto”和“Ex-Robotos”為例，報告顯示，Kr3pto 網路釣魚工具包以簡訊方式向金融機構及其客戶發起攻擊，自 2020 年 5 月以來，其在英國總計欺詐了 11 個品牌，涉及 8000 多個域名。在企業撞庫網路釣魚方面，43 天內用於 Ex-Robotos 的 API IP 地址的點選量超過 22 萬次。

Akamai 安全研究員兼《網際網路安全狀況報告》作者 Steve Ragan 認為：“撞庫攻擊數量的持續顯著增加與金融服務行業的網路釣魚狀況有直接的關係。犯罪分子會使用各種方法來擴充其收集到的登入憑據，而網路釣魚則是他們攻擊手段中的關鍵工具之一。通過以該行業中的銀行客戶和員工為目標，犯罪分子令其潛在受害者的數量以指數方式增加。”

報告強調，像 Ex-Robotos 和 Kr3pto 這樣的網路釣魚工具只是冰山一角 —— 每天都有數百種工具被開發和分發。隨著網路釣魚攻擊及工具包的發展，防禦者意識到僅僅依靠使用者名稱和密碼是不夠的，以零信任為代表的安全機制，限制和控制訪問，實施多層身份驗證和防禦，將有助於企業更好的控制安全性。