網(wǎng)絡(luò)釣魚(yú)是一種網(wǎng)絡(luò)攻擊，是指具有惡意動(dòng)機(jī)的攻擊者偽裝欺騙人們并收集用戶名或密碼等敏感信息的一系列行為。由于網(wǎng)絡(luò)釣魚(yú)涉及心理操縱并依賴于人為失誤(而不是硬件或軟件漏洞)，因此被認(rèn)定為是一種社會(huì)工程攻擊。

1. 普通網(wǎng)絡(luò)釣魚(yú)（群攻）

普通網(wǎng)絡(luò)釣魚(yú)是廣撒網(wǎng)的方式，通過(guò)偽裝成目標(biāo)關(guān)注的各種信息，通過(guò)郵件、短信等方式向用戶發(fā)送鏈接，欺騙用戶輸入敏感信息、下載病毒、木馬等惡意軟件，獲取目標(biāo)的相關(guān)信息實(shí)施攻擊或欺詐。

2. 魚(yú)叉式攻擊（特攻）

魚(yú)叉式攻擊是一種較為高級(jí)的網(wǎng)絡(luò)釣魚(yú)攻擊手法，針對(duì)特定的目標(biāo)或組織，借助構(gòu)造特定主題和內(nèi)容的郵件、短信等第三方媒介，吸引特定目標(biāo)群體打開(kāi)鏈接或下載附件等方式的釣魚(yú)攻擊行為。魚(yú)叉攻擊實(shí)施前，攻擊者需要在前期對(duì)特定目標(biāo)的工作情況、生活情況及其它活動(dòng)規(guī)律等進(jìn)行摸底偵察，再運(yùn)用社會(huì)工程學(xué)方法構(gòu)造定制化的釣魚(yú)郵件、短信等。這些釣魚(yú)郵件、短信的主題、內(nèi)容及文檔標(biāo)題均能與目標(biāo)當(dāng)前所關(guān)心的熱點(diǎn)事件、工作事項(xiàng)或個(gè)人事務(wù)等相匹配，以降低目標(biāo)的防范心理，誘騙其下載附件中的帶有病毒代碼或者漏洞利用的偽裝性攻擊文檔，實(shí)現(xiàn)精準(zhǔn)、高效的載荷投遞。

3. 鯨釣式攻擊（斬首）

攻擊者不針對(duì)組織內(nèi)的低級(jí)別人員，而是針對(duì)高層，如首席執(zhí)行官，首席財(cái)務(wù)官和首席運(yùn)營(yíng)官。釣鯨的目標(biāo)是經(jīng)過(guò)精心挑選的，因?yàn)槭芎φ邇r(jià)值很高，而被盜的信息將比普通員工提供的信息更有價(jià)值。釣鯨需要依賴于社交工程，攻擊者需要更好地了解目標(biāo)。通常攻擊者會(huì)先從互聯(lián)網(wǎng)和各種社交媒體平臺(tái)獲取目標(biāo)的相關(guān)信息，然后再用此信息設(shè)計(jì)有針對(duì)性地釣魚(yú)。

鯨釣攻擊和魚(yú)叉攻擊的區(qū)別在于，鯨釣只針對(duì)組織內(nèi)的高級(jí)別人員，而魚(yú)叉攻擊的目標(biāo)是重要的組織，它會(huì)向該組織內(nèi)的所有員工發(fā)釣魚(yú)郵件，而不單單針對(duì)高層。

4. 水坑式攻擊（埋雷）

在受害者必經(jīng)之路設(shè)置了一個(gè)“水坑(陷阱)”，攻擊者分析攻擊目標(biāo)的上網(wǎng)活動(dòng)規(guī)律，尋找攻擊目標(biāo)經(jīng)常訪問(wèn)網(wǎng)站的脆弱性，先將此網(wǎng)站“攻破”并植入攻擊代碼，一旦攻擊目標(biāo)訪問(wèn)該網(wǎng)站就會(huì)“中招”。水坑攻擊手法針對(duì)的目標(biāo)多為特定的團(tuán)體（組織、行業(yè)、地區(qū)等），由于此種攻擊借助了目標(biāo)團(tuán)體所信任的網(wǎng)址，攻擊成功率很高，即便是那些對(duì)魚(yú)叉攻擊、鯨釣攻擊或其他形式的釣魚(yú)攻擊具有防護(hù)能力的團(tuán)體也會(huì)中招。

5. 燈籠式釣魚(yú)

燈籠式釣魚(yú)是一種新型的、基于社交媒體的釣魚(yú)欺詐方法，常見(jiàn)于Twitter, Facebook和Instagram等熱門社交媒體平臺(tái)。欺詐者通過(guò)創(chuàng)建仿冒的品牌賬號(hào)/門戶，先吸引用戶關(guān)注（燈籠式吸引），騙取信任后，再將用戶誘導(dǎo)至實(shí)際的釣魚(yú)鏈接，完成欺詐，這種手法常見(jiàn)于銀行、電商、零售等行業(yè)。需要說(shuō)明的是，除了仿冒企業(yè)，仿冒企業(yè)的管理人員或社會(huì)名人、明星等，也同樣非常有效。

6. WIFI網(wǎng)絡(luò)釣魚(yú)

攻擊者偽裝公眾場(chǎng)所常用的WIFI熱點(diǎn)，誘導(dǎo)受害者連接使用公共WIFI，接管受害者網(wǎng)絡(luò)竊聽(tīng)網(wǎng)絡(luò)流量數(shù)據(jù)，捕獲受害者手機(jī)號(hào)、用戶賬號(hào)等相關(guān)信息后實(shí)施攻擊或欺詐。

7. 2G/3G/4G/5G網(wǎng)絡(luò)釣魚(yú)

攻擊者利用偽基站接管受害者手機(jī)信號(hào)，截獲受害者手機(jī)上網(wǎng)流量數(shù)據(jù)，獲取受害者手機(jī)號(hào)、賬號(hào)、密碼等相關(guān)信息后實(shí)施攻擊或欺詐。

8. 域名欺騙

域名欺騙是一種最常見(jiàn)的網(wǎng)絡(luò)釣魚(yú)形式，攻擊者使用與企業(yè)非常相近的域名來(lái)仿冒企業(yè)本身或企業(yè)員工進(jìn)行欺詐。通常攻擊者會(huì)注冊(cè)一個(gè)與企業(yè)域名非常相似的域名，然后利用此域名發(fā)送電子郵件，或者搭建一個(gè)欺詐網(wǎng)站，欺詐網(wǎng)站會(huì)使用企業(yè)商標(biāo)或視覺(jué)設(shè)計(jì)風(fēng)格來(lái)進(jìn)行仿冒，而郵件會(huì)盡可能采用企業(yè)業(yè)務(wù)相關(guān)的行業(yè)術(shù)語(yǔ)以增強(qiáng)其可信性。

9. 雪鞋攻擊

雪鞋攻擊即“打了就跑”的垃圾郵件要求攻擊者通過(guò)多個(gè)域和IP地址發(fā)送郵件。每個(gè)IP地址發(fā)送少量郵件，因此基于信譽(yù)或數(shù)量的垃圾郵件過(guò)濾技術(shù)無(wú)法立即識(shí)別和阻止惡意郵件。過(guò)濾系統(tǒng)還未來(lái)得及阻止，一些郵件就進(jìn)入到了電子郵件收件箱。

10. DNS欺騙

通過(guò)入侵DNS服務(wù)器的方式，將受害者導(dǎo)引到偽造的網(wǎng)站上，因此又被稱為DNS服務(wù)器投毒（DNS Poisoning），不需要依賴于一個(gè)欺詐網(wǎng)站來(lái)引誘目標(biāo)。攻擊者通過(guò)攻擊DNS服務(wù)器，將流量重定向到釣魚(yú)網(wǎng)站。一旦受害者訪問(wèn)這個(gè)假冒網(wǎng)站，攻擊者只需要坐下來(lái)等待，而毫無(wú)防備的用戶照常登錄，不知不覺(jué)就泄漏了個(gè)人敏感信息。

11. 中間人網(wǎng)絡(luò)釣魚(yú)

中間人（man-in-the-middle，MITM）網(wǎng)絡(luò)釣魚(yú)攻擊是指攻擊者攔截并改變通信鏈路，攻擊者控制網(wǎng)絡(luò)流量，并代理發(fā)送和接收所有消息。當(dāng)攻擊者攔截?cái)?shù)據(jù)時(shí)，監(jiān)聽(tīng)或插入特定信息可以獲得個(gè)人敏感信息。

12. 其它攻擊方式

根據(jù)所利用的載體不同，還有短信釣魚(yú)、郵件釣魚(yú)、語(yǔ)音釣魚(yú)、網(wǎng)站釣魚(yú)、圖片釣魚(yú)、文件釣魚(yú)、搜索引擎釣魚(yú)、二維碼釣魚(yú)、克隆釣魚(yú)等各種釣魚(yú)方式。

附：如何防范網(wǎng)絡(luò)釣魚(yú)，可以做到以下幾點(diǎn)：

• 不點(diǎn)擊來(lái)源不明的網(wǎng)站鏈接
• 不點(diǎn)擊來(lái)源不明的文件（包括圖片）
• 不瀏覽來(lái)歷不明的網(wǎng)頁(yè)
• 不信任來(lái)歷不明的https證書(shū)
• 不要隨便輸入重要密碼
• 不要瀏覽黃色、賭博類的網(wǎng)站。