去年，我妻子开始攻读博士学位后，陆续收到了一系列以助学金为诱饵的网络钓鱼邮件。这些邮件虽然是广泛投放的，但试图营造专业形象，使用了相似的品牌标识、近似的域名和行动号召。不过，这些邮件并非她主动订阅或请求的，而且还催促她立即采取行动。仔细查看后，可以确认它们是网络钓鱼邮件。她很快在Microsoft Outlook中点击了“报告网络钓鱼”，并删除了这些邮件，但这也让我开始思考助学金诈骗造成的影响。
在美国，约有4,300万人背负学生贷款，贷款余额中位数约为37,000.00美元。根据美国国家教育统计中心的数据，近80%的学生获得经济援助。大量人群背负学生贷款并接受经济援助，因此不法分子将这一庞大市场视为主要目标。据《福布斯》报道，学生贷款诈骗金额超过50亿美元，时间为2022年。诈骗数据不只是令人沮丧的统计数字，还会影响真实的人：刚毕业的学生在步入职场时，其职业生涯初期的基础会受到冲击。
贷款服务机构和借款人面临的风险
学生贷款服务机构通常会面临与学生贷款和助学金欺诈相关的四类风险：
- 新账户开立欺诈
- 账户接管
- 身份盗窃
- 欺诈性索赔
这四类风险会造成许多相同的后果，但对业务影响尤为显著的两项后果是客户信任受损和攻击相关成本增加。当借款人遭遇与某一品牌相关的未经授权账户操作、欺诈或身份盗用时，借款人与贷款机构之间的信任就会受损。事件发生后，重建信任极其困难且耗时。同样，如果攻击得逞，组织将承担高昂的恢复成本。这些情况往往如同噩梦。
犯罪分子频繁利用学生贷款、贷款合并和债务减免骗局，将借款人作为重点目标。网络犯罪分子利用学生缺乏防范意识实施诈骗，就像我妻子收到的网络钓鱼信息一样。他们认为学生会将这些骗局误认为官方服务，进而授权访问账户或提供个人身份信息（PII）。在2022年10月FBI发布的公告中，FBI警告借款人，网络犯罪分子正以毕业生为目标，谎称可协助申请美国学生贷款债务减免计划。
化繁为简，轻松应对棘手难题
2022年，加拿大某政府机构在学生助学金和COVID-19疫情救助方面面临严峻的分布式拒绝服务（DDoS）攻击、机器人和欺诈问题。该机构联系F5协助缓解这些攻击后，我们针对F5 Distributed Cloud Services开展了全面的概念验证。此次概念验证让该机构认识到全面掌握其应用安全状况的重要性，并展示了如何利用高级信号发现欺诈性应用流量。
在概念验证期间，我们发现数据异常，表明存在大量欺诈性申领和异常账户行为。发现这一令人担忧的结果后，我们立即通知了该机构的网络犯罪运营团队，以便向其首席信息安全官（CISO）及安全组织内的其他主要负责人汇报调查结果。听取汇报后，CISO向F5发送电子邮件，对这项研究表示赞赏，并写道：
“在我33年的职业生涯中，这是我见过的呈现此类数据最清晰、最简明的方式。”
如今，这家政府机构已获得保护，并始终领先攻击者数步。借助F5 Distributed Cloud Bot Defense，该机构阻止了超过300万美元的欺诈性索赔。该机构认为，这项强大的服务能够快速、顺畅地部署，从而解决欺诈问题并防范未来的欺诈行为。显著成果之一是增强了保护，让安全团队和消费者都能更加安心。
The F5 Distributed Cloud Platform通过单一门户统一管理，保护多云、本地和边缘环境中的应用免受机器人和自动化攻击。安全专业人员可以部署DDoS缓解措施来抵御大流量攻击，实时缓解机器人攻击，并利用强大的AI实现欺诈防护和身份验证智能，从而保护账户，同时减少合法回访客户的登录阻碍。
分享这些提示，帮助保护学生贷款借款人
学生和毕业生应保持良好的在线账户数字安全习惯。攻击者通常会利用凭据填充和暴力破解攻击，因此借款人和助学金领取者可通过加强密码管理、启用多重身份验证并及时更新联系信息，降低账户遭到未经授权访问的可能性。
- 防范网络钓鱼： 大多数攻击都始于一封简单的网络钓鱼邮件。务必提醒借款人警惕贷款减免提议，以及冒充其所在大学人员、索要FSA ID和密码等信息的行为。
- 密码：目前，密码仍不会消失。因此，如果必须使用密码，请使用强度高且唯一的密码，定期更换，并考虑使用密码管理器。根据Security.org的数据，像mycollege1这样的简单密码，计算机算法可能只需约一天即可破解；而像dwf19g-3Y&es-cBE@!s 这样的随机密码，破解时间可能超过人的一生。加密密码管理器让人无需记住冗长的随机密码。密码管理器，例如iCloud Keychain from Apple和1Password，可以推荐并自动填充密码，让使用密码变得更轻松。
- 多重身份验证（MFA）： 如果密码泄露并被用于凭据填充攻击，MFA就会成为至关重要的下一道防线。MFA要求使用另一个一次性生成的验证码才能完成登录。市面上有多款多重身份验证应用，包括Apple提供的应用（通过iCloud Keychain内置于macOS和iOS中）、 Microsoft （Microsoft Authenticator）以及1Password。
- 联系信息：随着生活日益忙碌，人们很容易忘记哪些机构仍保留着自己的旧邮寄地址、电话号码、电子邮件地址和姓名。更新联系信息有助于避免遗漏通知，并防止不法分子利用过时信息未经授权访问账户。
比不断变换手法的犯罪分子更快应变
服务机构与借款人必须共同致力于网络安全。安全必须成为建立信任、降低未来遭受攻击可能性的基础。让我们主动实施安全措施，共同守护彼此的数字生活。对于贷款机构和服务机构，F5 Distributed Cloud Bot Defense可阻止犯罪分子调整手段以绕过防御，帮助组织持续领先于机器人攻击，实现长期有效防护，同时不给客户带来任何操作阻碍。详细了解F5 Distributed Cloud Bot Defense如何减少欺诈性账户创建。
关于作者
Hunter Smit是F5解决方案与战略产品营销高级经理。他负责F5产品组合的解决方案营销工作，涵盖AI基础设施和应用安全，并推动F5进军新兴的AI数据交付市场。Hunter是Whitworth University商学院顾问委员会成员，并曾担任产品营销兼职讲师。他拥有Whitworth University工商管理硕士学位和管理学工商管理学士学位。
Hunter Smit 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。