新冠疫情持续迫使企业远程提供服务。一种可能对部分读者来说不太熟悉的威胁正在日益加剧，那就是语音钓鱼（Vishing）。语音钓鱼是一种黑客技术，攻击者冒充信誉良好的公司，通过电话和语音邮件诱骗个人泄露银行卡号、信用卡号或其他非公开个人信息。它类似于网络钓鱼（phishing）和短信钓鱼（smishing），但使用的是电话系统和语音信箱，而不是电子邮件。
美国联邦调查局 (FBI) 和美国网络安全与基础设施安全局 (CISA) 近期联合发布网络安全警报，警告雇主注意针对远程办公人员的语音钓鱼诈骗（简称“vishing”）日益猖獗。此前，vishing 的目标群体主要是老年人等弱势群体。然而，随着远程办公模式的兴起，网络犯罪分子更加肆无忌惮地利用安全措施的薄弱环节和员工的孤立状态进行攻击。在这些攻击中，受害者会接到电话，对方索要银行或信用卡信息，声称账户已被盗用；或者接到自称“国税局 (IRS)”的电话，要求核实个人的社会安全号码；此外，还有针对医疗保险和社会保障的诈骗。
近年来，网络钓鱼诈骗已演变为精心策划且手段复杂的攻击活动，旨在窃取目标公司的机密信息、专有信息和商业秘密。黑客利用公司远程员工的漏洞，通过公司的虚拟专用网络（VPN）访问这些宝贵信息。VPN广泛应用于远程办公环境中，用于访问位于公司内部而非云端的企业资源。虽然这种传统的VPN基础设施和远程访问通常受到严密保护，但黑客仍然找到了绕过这些传统防护措施的狡猾方法。
根据FBI和CISA的报告，这些语音钓鱼诈骗遵循一套常见的操作流程：
黑客选择一家目标公司并开始详尽研究其员工。
接下来，黑客注册一个域名并创建复制公司内部 VPN 登录页面的钓鱼网页。
这使得黑客能够快速绕过这些强大的保护措施，快速进入公司的 VPN 并可能访问其敏感和机密数据。
黑客冒充IT技术人员或服务台员工，用私人手机联系员工，声称存在严重的安全隐患。员工的反击导致黑客升级语气，强调“保护公司资源免遭攻击！”
黑客现在掌握了该员工的全部凭证。
黑客利用这种临时且限时 VPN 访问权限来挖掘公司的数据库、记录和文件，以查看和泄露（窃取）公司信息，并通过攻击数据的机密性（超过其可用性）来增强勒索软件威胁。
公司的机密信息被窃取，导致巨额赎金成本、法务费用和成本、员工和客户声誉受损，以及潜在的重大安全漏洞责任
企业应与员工合作，帮助他们提升网络安全知识，以便他们做好应对此类攻击的准备，这一点至关重要。CyberHoot 建议您：
保持领先地位，了解企业面临的新兴网络安全威胁，并了解应该采取哪些措施来保护企业安全，才是明智之举。立即与 CyberHoot 合作，通过安全意识培训、策略管理和网络钓鱼测试，帮助您的企业提高安全意识，增强安全保障。
资料来源：BusinessWise、CBROnline、Lexology
延伸阅读：语音钓鱼——网络诈骗术语
发现并分享最新的网络安全趋势、技巧和最佳实践——以及需要注意的新威胁。
