对于真正钓鱼（钓的是活生生的鱼）的人来说，时机很重要，这并不是什么秘密。有些鱼在早晨更活跃，因此更容易上钩；有些则在傍晚更活跃；还有一些在午后较早时段更活跃。
事实证明，数字网络钓鱼也不例外。F5安全运营中心（SOC）在2015年收集了针对欧洲、中东和非洲（EMEA）金融机构的网络钓鱼企图统计数据；从这些数据来看，网络钓鱼活动的实施者也呈现出类似的时间规律。
时机很重要
如果想在欧洲、中东和非洲地区避免遭受网络钓鱼攻击，数据显示，一周中在周六办理金融业务较为稳妥。2015年，仅有5%的攻击发生在周六；周五和周日次之，这两天各有12%的攻击发生。
周一的坏名声果然名副其实：周一发生的攻击数量（20%）高于一周中的其他任何一天，不过其他工作日的情况也好不了多少。IDC的研究显示，工作场所中30%–40%的互联网访问时间用于与工作无关的活动[1]。因此，金融机构在工作日平均遭受的攻击多于周末，也就不足为奇了。
数据进一步印证了这一点：大多数网络钓鱼攻击发生在工作时间。
2015年，月初发生网络钓鱼攻击的可能性也比月末高200%。网络钓鱼攻击在每月第一周达到峰值，随后逐渐减少；不出所料，工作日的攻击活动较多，周末则较少。
不出所料，在欧洲、中东和非洲地区，大多数雇主会在月初或月末发放员工工资。F5 SOC专家指出，欧盟网上银行的平均使用率为46%[2]，再加上这一发薪规律，很可能导致月初攻击数量急剧上升，因为员工会登录网上银行系统支付账单或查看工资是否到账。
选择合适的鱼饵
在现实世界中钓鱼时，哪种鱼饵更好始终是一个颇具争议的话题。颜色、大小、动态效果，以及鱼饵对“真实”事物的模仿程度，都是重要因素。毕竟，我们希望让鱼相信所用的鱼饵是真的，从而诱使它们上钩。在数字世界中，窃取金融数据的网络钓鱼者所使用的诱饵和网站也是如此。
事实证明，就像鱼不会轻易上钩一样，潜在的网络钓鱼受害者也不会轻易中招。F5 SOC发现，平均需要访问欺诈页面9.14次，才会有人上钩。
专家会花费大量时间评估已发现的欺诈网站，以尽可能深入了解网络钓鱼者及其手法。事实证明，通过网络钓鱼攻击所使用的URL，可以获取大量有关攻击者的信息。2015年的观察发现，每10个欺诈网站中就有1个直接托管在根目录下，没有任何附加路径，例如www.phishingsite.com或www.phishingsite.com/index.html。这表明相关服务器是专门为托管欺诈网站而配置的，也就是说，这些服务器很可能是专门为网络钓鱼攻击而购买的。攻击者通常会入侵现有网站并注入恶意内容，因此这种做法令人担忧，因为以这种方式搭建的网站不易被Web应用防火墙等其他防御措施检测到。
鉴于2015年有报道称，广受欢迎的WordPress系统受到大量严重漏洞的困扰，因此发现15%的欺诈网站托管在WordPress文件夹中并不令人意外。未修补和/或未处理的漏洞很容易被攻击者利用，用来托管恶意代码和欺诈网站。
此外，F5 SOC专家指出，20%的URL路径会针对每位受害者动态生成，因此难以通过传统安全措施进行阻止。这也是2015年移除或关闭欺诈网站平均耗时较长的原因之一。
好消息是，当最终用户凭据被盗后，关闭欺诈网站所需的时间会缩短。坏消息是，在此期间的数小时内，许多用户仍未受到保护，因此并未意识到潜在危险。
F5 SOC建议监控名称与官方域名相似的域名，以缩短从域名建立到被发现的时间。许多虚假页面虽然不一定托管在名称相似的域名下，但攻击URL中包含官方使用的字符串。通常，F5 SOC建议在互联网上搜索这些特定词语。针对欧洲、中东和非洲地区金融机构的网络钓鱼攻击往往在周一至周四的工作时间最为活跃。要防止消费者遭遇凭据盗窃，时间至关重要，因此应尽快分析并关闭所有虚假页面。
[1] http://www.staffmonitoring.com/P32/stats.htm
[2] http://www.statista.com/statistics/222286/online-banking-penetration-in-leading-european-countries/
如需进一步了解F5欺诈防护，请参阅WebSafe数据表和MobileSafe数据表。如需进一步了解F5安全运营中心，请参阅F5 SOC数据表
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。