釣魚郵件演練情況通告
一,、演練背景
如今的互聯(lián)網(wǎng)環(huán)境中,，網(wǎng)絡(luò)釣魚攻擊是個(gè)人、企事業(yè)單位,、高校所面臨的較大的安全威脅,，職工被“釣魚”是不同規(guī)模組織的一大風(fēng)險(xiǎn)，釣魚攻擊者往往會(huì)偽裝成可信的來源,，欺騙受害者點(diǎn)擊鏈接或下載文件,，從而獲取敏感信息或執(zhí)行惡意代碼。同時(shí)APT和黑產(chǎn)組織針對政府,、企業(yè),、高校等單位的漏洞攻擊成本日益增高，與漏洞挖掘利用或各種偽裝及滲透相比,，釣魚郵件因其成功率高、操作簡單成為了真實(shí)網(wǎng)絡(luò)環(huán)境中最常見的攻擊方式之一,。
基于此,，為提高師生對釣魚郵件的識別能力，提升師生網(wǎng)絡(luò)安全意識,，防范化解釣魚郵件風(fēng)險(xiǎn)隱患,，保障學(xué)校系統(tǒng)業(yè)務(wù)數(shù)據(jù)和師生個(gè)人信息安全，信息化管理處積極響應(yīng)教育部定期開展釣魚演練的號召,，于5月13日至5月20日開展了為期一周的釣魚安全演練,。
二、演練總體情況
圍繞統(tǒng)一身份認(rèn)證（https://sso.cup.edu.cn/login）系統(tǒng)，制定“統(tǒng)一身份認(rèn)證平臺賬號異地登錄通知”郵件文案,，發(fā)送到全校師生目標(biāo)郵箱：
師生點(diǎn)擊釣魚鏈接后跳轉(zhuǎn)至偽造的釣魚網(wǎng)站,，誘導(dǎo)師生輸入賬號密碼等敏感數(shù)據(jù)信息。
師生輸入賬號密碼后跳轉(zhuǎn)至警示頁面,，加深演練中招師生印象,，方便配合后續(xù)的安全意識教育,。
本次釣魚演練投放樣本覆蓋全校教職工和學(xué)生，發(fā)送共計(jì)26424封釣魚郵件（教師：2516,，學(xué)生：23908）,，截止到2024年5月20日，一共有707位師生中招,，演練情況統(tǒng)計(jì)如下：
總覽視圖如下：
從演練總體情況來看,，教師組的郵件閱讀人數(shù)及演練中招人數(shù)要少于學(xué)生組，其中部分師生存在多次點(diǎn)擊鏈接訪問水坑網(wǎng)站且多次提交賬號密碼的情況,，攻擊者針對此類型職工稍加構(gòu)造放置木馬即可誘導(dǎo)其下運(yùn)行進(jìn)而導(dǎo)致職工電腦被控制,，PC終端一旦失陷將造成嚴(yán)重危害。同時(shí)如果師生的郵箱賬號失陷被攻擊者利用對內(nèi)或?qū)ν馔哆f釣魚郵件,，甚至?xí)绊憣W(xué)校聲譽(yù)以及造成財(cái)產(chǎn)經(jīng)濟(jì)損失,。
三、與去年情況分析對比
2023年釣魚演練中共有711位師生中招,，2024年共有707位師生中招,，相比于2023年略有減少幅度，師生防釣魚意識有所提高,。但從整體情況看,，師生安全意識仍然較為薄弱，存在較大安全隱患,，其中連續(xù)兩年中招人數(shù)共計(jì)有130人,，占今年中招的總?cè)藬?shù)的18.39%。連續(xù)兩年都中招輸入賬號密碼的人數(shù)為56人,，訪問釣魚鏈接的人數(shù)為74人,。
四、如何防范釣魚郵件
? 增強(qiáng)郵箱賬號安全,，做到涉密信息不上網(wǎng)
①開啟郵箱“異地登錄提醒”和“帳號鎖定提醒”功能,，提高賬戶的安全性。
②引入雙因素認(rèn)證或者零信任認(rèn)證的機(jī)制,，避免直接使用賬號密碼登錄,，降低賬號密碼被盜的風(fēng)險(xiǎn)。經(jīng)常使用客戶端的賬號,，可開啟客戶端專用密碼,。
③采用復(fù)雜且獨(dú)特的密碼：創(chuàng)建長度不少于8位，包含數(shù)字,、字母,、特殊符號的復(fù)雜密碼，并確保該密碼與您的其他任何互聯(lián)網(wǎng)賬號（如淘寶、微博等）的密碼不同,。避免使用與個(gè)人信息（如身份證號,、手機(jī)號）直接相關(guān)的數(shù)字作為密碼。
④注意密碼保護(hù),，切勿輕易將密碼告知他人,，也不要在不受信任的網(wǎng)絡(luò)或設(shè)備上保存賬號密碼。建議定期更換密碼,，并使用密碼管理工具來安全地存儲(chǔ)和生成密碼,。
? 警惕釣魚勒索電子郵件
①驗(yàn)證發(fā)件人身份：在打開郵件之前，務(wù)必核實(shí)發(fā)件人的地址和身份,。對于不熟悉或可疑的發(fā)件人,，要特別警惕。
②謹(jǐn)慎點(diǎn)擊鏈接和附件：不要點(diǎn)擊郵件中的未知鏈接,，尤其是鏈接地址與郵件內(nèi)容所描述的不符或網(wǎng)址異常的情況,。對于郵件中的附件，特別是“.exe”和“.bat”等可執(zhí)行文件,，要格外小心,，不要隨意下載和運(yùn)行,。
③不回復(fù)和不提供敏感信息：不要回復(fù)任何未經(jīng)核實(shí)的郵件,，也不要提供任何敏感信息,，如銀行賬戶、密碼等,。如果不慎在可疑郵件中輸入了真實(shí)信息,，請立即修改相關(guān)賬號密碼，并檢查賬戶安全狀態(tài),。
④報(bào)告可疑郵件：如果收到疑似釣魚郵件或其他可疑信息,，請及時(shí)向相關(guān)部門或郵箱管理員報(bào)告，可發(fā)送至[email protected],。
提醒：學(xué)校不會(huì)通過郵件方式要求師生提供任何涉及賬號密碼信息等敏感內(nèi)容。請全體師生提高警惕,，如有需要,，請通過官方渠道進(jìn)行核實(shí)。