网络犯罪对情绪健康造成的代价

Ian LauthAI产品营销总监 | F5

我根本不在乎自己的名声。

Joan Jett and the Blackhearts能毫无顾忌地高唱这些歌词，是因为当时尚未进入现代互联网时代，反主流文化仍然叛逆、酷炫而前卫。

如今，反主流文化已成为主流，而网络声誉对我们至关重要。随着我们与口袋里的设备日益密不可分，我们开始有意塑造、高度展示并严格管理自己的数字形象。

因此，当账户因凭据填充攻击而被接管，并遭到恶意行为者利用时，可能会给个人带来严重后果。

恐慌、尴尬和羞耻。

这些都是数字世界中发生的事情所引发的真实感受。

社交媒体账户被接管时尤其如此。身份盗窃资源中心（ITRC）将这种现象称为“账户接管泛滥”。

据ITRC称，2021年，有近15,000名身份犯罪受害者联系该机构寻求支持服务，这一数字本身就创下了纪录；而从2020年到2021年，社交媒体账户接管事件增长了1,044%。这一数据令人震惊。

随后，ITRC对社交媒体账户被接管的受害者开展了一项调查，并发现66%的受访者表示，失去对社交媒体账户的控制令他们产生了强烈的情绪反应：92%感到自身权益受到侵犯，83%感到担忧和焦虑，78%感到愤怒，77%感到无助，7%产生了自杀念头。

值此世界精神卫生日之际，网络安全领域应重视这些统计数据。虽然有些人可能认为社交媒体身份盗用只会带来些许不便，但这些数据表明，个人的网络声誉与其情绪健康密切相关。

以我的两位朋友Trevor和Stacey为例，他们的社交媒体账户都在2022年7月遭到入侵，推测是同一次凭据填充攻击所致。两人都没有设置双重身份验证。

这两位朋友都是事业有成的专业人士，平时活跃于社交媒体，其中一位对加密货币颇感兴趣。

这些不法分子在他们的Instagram快拍中发布了一条相当直白的信息，声称自己参与了一个比特币挖矿项目。该信息是一张iPhone锁定屏幕截图，其中包含一张取自其个人资料的照片（Trevor的截图中使用了他个人资料里与妻子的合照），并显示了一条伪造的BofA短信，随后还附有一张所谓的银行账户截图：

虽然无需网络安全专家也能看出这是骗局，但这种网络钓鱼手法仍可能奏效，因为它来自可信来源的真实账号，而该社交生态系统通常并不以滥用行为多发而闻名。

出于对这些攻击者技术水平的好奇，也因为我从不会错过与黑帽同行直接交流的机会，我回复了这条动态，想看看他们的话术究竟有多大效果：

我知道，我知道。我真是个好朋友，对吧？

这对两个人来说都是一场可怕的磨难。Trevor得以使用Instagram的人脸识别验证流程。该流程会扫描面部，并与其庞大的已标记照片库进行比对。他在27小时内重新获得了访问权限，并设置了双重身份验证。

而Stacey则彻底离开了社交媒体。这段经历让她感到无比难堪，也给她带来了巨大的焦虑，于是她索性一走了之。她认定，所谓的“数字世界中的人设”并不适合自己。

这种情况并不少见。2020年的一项研究表明，如果账户遭到入侵，28%的消费者将不再使用相关网站。

恐慌、尴尬和羞耻。

我们不希望客户的最终用户在依赖我们的产品时产生这样的感受。虽然这个例子可能是社交媒体领域的特例，但这种感受却是我们都能体会的。

无论是社交媒体、金融科技、电商，还是其他拥有可被利用的用户群体的组织，凭据填充攻击都将是一场长期持续的猫鼠游戏，其影响之大令人侧目。

根据Javelin Strategy and Research发布的《2021年身份欺诈研究》，2020年，账户接管（ATO）欺诈造成的损失总额超过60亿美元。企业不断构建新的防御措施，黑客则开发工具绕过这些防护，双方的攻防循环持续上演。

那么，企业该如何应对反击？

在一份Aite Group近期发布的报告中，研究人员采访了来自金融机构、金融科技贷款机构和电子商务公司的风险管理高管，以了解他们如何保护自身免受数量不断增加的账户接管（ATO）攻击。

主要结论包括：

• 大多数消费者在多个网站上重复使用少数几组用户名和密码，形成了可被有组织犯罪团伙利用的漏洞。
• 可被利用的攻击面持续扩大，使检测和缓解工作更加复杂。
• 组织需要一种利用实时数据分析的解决方案，以应对自动化攻击，并在恶意活动影响业务之前将其阻止。
• 随着犯罪分子将攻击重点转向更容易得手的目标，防御能力强的企业遭受的攻击量将会减少。

除了ATO攻击对企业利润造成的明显影响外，还应认识到，这些犯罪行为也会对现实中的人造成切实影响。

阻止欺诈不仅是为了避免经济损失，对于防止此类犯罪给人们造成创伤也同样重要。这种创伤正悄然侵蚀着构建更理想数字未来的根基。与现实世界一样，要实现我们所期望的未来，离不开安全、保障与信任。

关于作者

Ian LauthAI产品营销总监 | F5

Ian Lauth 的更多博客文章