5月20日消息，近日Akamai发布了《互联网安全状况报告：针对金融行业的网络钓鱼》报告。这份报告是Akamai与威胁情报公司WMC Global合作制作，这次合作研究了两种特定的网络钓鱼工具包“Kr3pto”和“Ex-Robotos”。
报告显示，2020年，Akamai在全球范围内监测到1930亿次撞库攻击，其中34亿次攻击针对的是金融服务机构，同比增长超过45%。
Akamai在2020年观察到近63亿次Web应用程序攻击，其中超过7.36亿次攻击针对的是金融服务行业，比2019年增加了62%。
对Web应用程序攻击细分会发现，在全球所有业务类型中，SQL注入（SQLi）攻击依然高居榜首，占2020年所有Web应用程序攻击的68%，本地文件包含（LFI）攻击以22%位居第二。然而在金融服务行业中，LFI攻击占比高达52%，是2020年排名第一的Web应用程序攻击类型。SQLi和跨网站脚本攻击分别占33%和9%。
全行业中SQL注入攻击占比最高
在金融服务行业中，LFI攻击占比最高
此外，在过去三年（2018年至2020年）中，Akamai发现针对金融服务行业的DDoS攻击增加了93%，这表明系统破坏仍然是犯罪分子的目的，因此他们往往会攻击日常业务所需的服务和应用程序。
整体而言，从2019年到2020年，针对金融服务行业的攻击面呈现出同比显著增加的趋势。
仅以此次重点研究的网络钓鱼工具包“Kr3pto”和“Ex-Robotos”为例，报告显示， Kr3pto网络钓鱼工具包以短信方式向金融机构及其客户发起攻击，自2020年5月以来，其在英国总计欺诈了11个品牌，涉及8000多个域名。在企业撞库网络钓鱼方面，43天内用于Ex-Robotos的API IP地址的点击量超过22万次。
Akamai安全研究员兼《互联网安全状况报告》作者Steve Ragan认为：“撞库攻击数量的持续显著增加与金融服务行业的网络钓鱼状况有直接的关系。犯罪分子会使用各种方法来扩充其收集到的登录凭据，而网络钓鱼则是他们攻击手段中的关键工具之一。通过以该行业中的银行客户和员工为目标，犯罪分子令其潜在受害者的数量以指数方式增加。”
报告强调，像Ex-Robotos和Kr3pto这样的网络钓鱼工具只是冰山一角——每天都有数百种工具被开发和分发。随着网络钓鱼攻击及工具包的发展，防御者意识到仅仅依靠用户名和密码是不够的，以零信任为代表的安全机制，限制和控制访问，实施多层身份验证和防御，将有助于企业更好的控制安全性。