根据智能手机安全服务提供商Lookout的数据，与2020年下半年相比，针对能源行业员工的移动网络钓鱼攻击增加了161%，而且该趋势没有放缓的迹象。

尽管过时和易受攻击设备的危险一直困扰着所有行业，但Lookout的报告表明，能源是最容易被针对的行业，其次是金融、制药、政府和制造业。在地理分布方面，亚太地区位居榜首，其次是欧洲，然后是北美。

从上图可以看出，移动网络钓鱼在2021年上半年激增，能源行业近20%（亚太区二季度高达24.2%）的企业员工成为移动网络钓鱼攻击目标，比前六个月增加了161%。

VPN 凭据收集

由于新冠肺炎疫情的爆发，远程办公盛行，许多员工使用VPN访问企业网络。不幸的是，这种对企业网络的远程访问成为攻击者一个有吸引力的目标，他们使用网络钓鱼窃取VPN 凭据。

在研究人员分析的所有网络钓鱼案例中，有67%攻击者正在实施凭据盗窃。为了开展这些活动，攻击者会在虚假公司网站上使用电子邮件、短信、网络钓鱼应用程序和登录页面。凭证窃取和恶意软件投放的比例见图1。

图1 凭证窃取和恶意软件投放的比例

这些失窃的凭证使攻击者能够访问企业内部网络，将其用于进一步的横向移动和寻找额外的立足点，从而定位到易受攻击的系统，并对工业控制系统发起攻击，这些系统通常带有多年未识别的漏洞。

安卓的问题

根据Lookout报告，最主要的移动钓鱼攻击面源自56%的Android用户仍在运行过时且易受攻击的操作系统版本。“过时版本的谷歌和苹果操作系统仍在整个能源行业使用，旧版本系统将企业组织暴露在数百个漏洞面前，这些漏洞可能被寻求访问组织环境的不良行为者利用。”报告进一步指出。

在Android 11发布整一年后，Lookout的遥测显示只有44.1%的活跃Android设备在使用它（见图2）。

图2  Lookout遥测使用Android 11的用户数据

旧Android版本中的一些漏洞很容易被利用，而且此类漏洞在整个Android用户群中很普遍。例如，Chrome中的CVE-2020-16010可以通过特制的HTML页面被轻而易举地利用，考虑到该浏览器的流行度，所有过时的Android 机都可能存在该漏洞。

相比之下，iPhone更不容易受到攻击，因为大多数iOS用户运行的是最新版本。

风险软件是比恶意软件更大的问题

有风险的应用程序（风险软件）现在比“纯”恶意软件带来更大的威胁，因为它们更容易通过应用程序商店的审核。虽然间谍软件、键盘记录器、特洛伊木马程序，甚至勒索软件植入程序的威胁依然存在，但这些恶意软件往往仅在针对性很强的攻击中部署，分发量（相比风险软件）要小得多。

因此，面对包括风险软件在内的一些难以通过技术层面过滤或防御的风险，企业员工安全意识培训对于最大程度地减少安全事故和损失至关重要，因为人为因素仍然是安装风险软件和点击可疑链接的最大突破口和风险所在。Lookout报告指出，在接下来的12个月内，单次反网络钓鱼培训就能将网络钓鱼链接的点击次数减少50%。（文章来源：安全牛）