一、演練背景
如今的互聯(lián)網(wǎng)環(huán)境中，網(wǎng)絡(luò)釣魚(yú)攻擊是個(gè)人、企事業(yè)單位、高校所面臨的較大的安全威脅，職工被“釣魚(yú)”是不同規(guī)模組織的一大風(fēng)險(xiǎn)，釣魚(yú)攻擊者往往會(huì)偽裝成可信的來(lái)源，欺騙受害者點(diǎn)擊鏈接或下載文件，從而獲取敏感信息或執(zhí)行惡意代碼。同時(shí)APT和黑產(chǎn)組織針對(duì)政府、企業(yè)、高校等單位的漏洞攻擊成本日益增高，與漏洞挖掘利用或各種偽裝及滲透相比，釣魚(yú)郵件因其成功率高、操作簡(jiǎn)單成為了真實(shí)網(wǎng)絡(luò)環(huán)境中最常見(jiàn)的攻擊方式之一。
基于此，為提高師生對(duì)釣魚(yú)郵件的識(shí)別能力，提升師生網(wǎng)絡(luò)安全意識(shí)，防范化解釣魚(yú)郵件風(fēng)險(xiǎn)隱患，保障學(xué)校系統(tǒng)業(yè)務(wù)數(shù)據(jù)和師生個(gè)人信息安全，信息化管理處積極響應(yīng)教育部定期開(kāi)展釣魚(yú)演練的號(hào)召，于5月13日至5月20日開(kāi)展了為期一周的釣魚(yú)安全演練。
二、演練總體情況
圍繞統(tǒng)一身份認(rèn)證（https://sso.cup.edu.cn/login）系統(tǒng)，制定“統(tǒng)一身份認(rèn)證平臺(tái)賬號(hào)異地登錄通知”郵件文案，發(fā)送到全校師生目標(biāo)郵箱：
師生點(diǎn)擊釣魚(yú)鏈接后跳轉(zhuǎn)至偽造的釣魚(yú)網(wǎng)站，誘導(dǎo)師生輸入賬號(hào)密碼等敏感數(shù)據(jù)信息。
師生輸入賬號(hào)密碼后跳轉(zhuǎn)至警示頁(yè)面，加深演練中招師生印象，方便配合后續(xù)的安全意識(shí)教育。
本次釣魚(yú)演練投放樣本覆蓋全校教職工和學(xué)生，發(fā)送共計(jì)26424封釣魚(yú)郵件（教師：2516，學(xué)生：23908），截止到2024年5月20日，一共有707位師生中招，演練情況統(tǒng)計(jì)如下：
總覽視圖如下：
從演練總體情況來(lái)看，教師組的郵件閱讀人數(shù)及演練中招人數(shù)要少于學(xué)生組，其中部分師生存在多次點(diǎn)擊鏈接訪(fǎng)問(wèn)水坑網(wǎng)站且多次提交賬號(hào)密碼的情況，攻擊者針對(duì)此類(lèi)型職工稍加構(gòu)造放置木馬即可誘導(dǎo)其下運(yùn)行進(jìn)而導(dǎo)致職工電腦被控制，PC終端一旦失陷將造成嚴(yán)重危害。同時(shí)如果師生的郵箱賬號(hào)失陷被攻擊者利用對(duì)內(nèi)或?qū)ν馔哆f釣魚(yú)郵件，甚至?xí)绊憣W(xué)校聲譽(yù)以及造成財(cái)產(chǎn)經(jīng)濟(jì)損失。
三、與去年情況分析對(duì)比
2023年釣魚(yú)演練中共有711位師生中招，2024年共有707位師生中招，相比于2023年略有減少幅度，師生防釣魚(yú)意識(shí)有所提高。但從整體情況看，師生安全意識(shí)仍然較為薄弱，存在較大安全隱患，其中連續(xù)兩年中招人數(shù)共計(jì)有130人，占今年中招的總?cè)藬?shù)的18.39%。連續(xù)兩年都中招輸入賬號(hào)密碼的人數(shù)為56人，訪(fǎng)問(wèn)釣魚(yú)鏈接的人數(shù)為74人。
四、如何防范釣魚(yú)郵件
? 增強(qiáng)郵箱賬號(hào)安全，做到涉密信息不上網(wǎng)
①開(kāi)啟郵箱“異地登錄提醒”和“帳號(hào)鎖定提醒”功能，提高賬戶(hù)的安全性。
②引入雙因素認(rèn)證或者零信任認(rèn)證的機(jī)制，避免直接使用賬號(hào)密碼登錄，降低賬號(hào)密碼被盜的風(fēng)險(xiǎn)。經(jīng)常使用客戶(hù)端的賬號(hào)，可開(kāi)啟客戶(hù)端專(zhuān)用密碼。
③采用復(fù)雜且獨(dú)特的密碼：創(chuàng)建長(zhǎng)度不少于8位，包含數(shù)字、字母、特殊符號(hào)的復(fù)雜密碼，并確保該密碼與您的其他任何互聯(lián)網(wǎng)賬號(hào)（如淘寶、微博等）的密碼不同。避免使用與個(gè)人信息（如身份證號(hào)、手機(jī)號(hào)）直接相關(guān)的數(shù)字作為密碼。
④注意密碼保護(hù)，切勿輕易將密碼告知他人，也不要在不受信任的網(wǎng)絡(luò)或設(shè)備上保存賬號(hào)密碼。建議定期更換密碼，并使用密碼管理工具來(lái)安全地存儲(chǔ)和生成密碼。
? 警惕釣魚(yú)勒索電子郵件
①驗(yàn)證發(fā)件人身份：在打開(kāi)郵件之前，務(wù)必核實(shí)發(fā)件人的地址和身份。對(duì)于不熟悉或可疑的發(fā)件人，要特別警惕。
②謹(jǐn)慎點(diǎn)擊鏈接和附件：不要點(diǎn)擊郵件中的未知鏈接，尤其是鏈接地址與郵件內(nèi)容所描述的不符或網(wǎng)址異常的情況。對(duì)于郵件中的附件，特別是“.exe”和“.bat”等可執(zhí)行文件，要格外小心，不要隨意下載和運(yùn)行。
③不回復(fù)和不提供敏感信息：不要回復(fù)任何未經(jīng)核實(shí)的郵件，也不要提供任何敏感信息，如銀行賬戶(hù)、密碼等。如果不慎在可疑郵件中輸入了真實(shí)信息，請(qǐng)立即修改相關(guān)賬號(hào)密碼，并檢查賬戶(hù)安全狀態(tài)。
④報(bào)告可疑郵件：如果收到疑似釣魚(yú)郵件或其他可疑信息，請(qǐng)及時(shí)向相關(guān)部門(mén)或郵箱管理員報(bào)告，可發(fā)送至[email protected]。
提醒：學(xué)校不會(huì)通過(guò)郵件方式要求師生提供任何涉及賬號(hào)密碼信息等敏感內(nèi)容。請(qǐng)全體師生提高警惕，如有需要，請(qǐng)通過(guò)官方渠道進(jìn)行核實(shí)。