研究人员卡巴斯基揭露针对公司员工的网络钓鱼活动“谁处理财务文件”。网络攻击依赖于社会工程，这是一种诱骗个人泄露机密信息的心理操纵策略，Dropbox，在线存储服务受欢迎的。
两步网络攻击
最初，网络犯罪分子会模仿一家审计公司的。通过冒充这家公司，他们将通过电子邮件联系目标。为了欺骗受害者，黑客使用可能事先被泄露的官方电子邮件地址。通常情况下，该操作基于数据泄露，近几个月急剧增加。
这就是攻击难以检测的部分原因。第一封电子邮件声称该公司的财务报告太大，无法通过电子邮件传输。因此，诈骗者希望通过 Dropbox 将文档传输给用户。
“对于那些阅读该电子邮件的人来说，该电子邮件似乎是合法的并且是由人编写的。网络安全软件也不是违规行为。审计公司拥有接收者信息的借口是合理的，关于共享机密信息的免责声明也是如此。此外，该电子邮件不包含任何链接或附件，并且来自可轻松在线验证的公司地址，这使得垃圾邮件过滤器几乎不可能检测到。”卡巴斯基安全专家 Roman Dedenok 解释道。
获得信心后，受害者将收到“直接来自 Dropbox 的通知”在他的邮箱上。这封官方电子邮件表明，被指控的审计师希望共享文档关于公司的财务状况。正如卡巴斯基所说，“收件人已经做好准备，因此他们更有可能访问 Dropbox 网站并尝试查看文档”。通过这种两步走的策略，网络犯罪分子有效地缓解了用户可能的担忧。
一旦受害者打开该文件，传输到 Dropbox 的文件将使黑客能够达到他们的目的。该文件将打开一个假的 Dropbox 弹出窗口，要求目标登录“他的专业用户名和密码”。该欺骗性文件重定向到旨在清除凭据的在线表单。陷阱关闭，黑客带着敏感信息消失。然后，该数据可用于策划其他攻击。
显然，第三方要求提供专业证书的事实应该引起您的怀疑。卡巴斯基提醒“Dropbox 和外部审计员都不会知道您的工作密码，因此无法验证其真实性”。因此，没有理由要求提供此信息。
只有一条线索
此次网络攻击是几乎完美且无法察觉。事实上，只有一个要素可以让目标明白这是一种欺骗。网络犯罪分子声称该电子邮件是通过«Dropbox应用程序安全上传 »，安全下载服务。这项服务根本不存在，但黑客瞄准的员工很可能没有注意到。
根据卡巴斯基的调查结果，该计划被用于有针对性的攻击。目前，操作模式仅在“孤立案例”。但是，我们建议您格外小心。
来源 ： 卡巴斯基
