钓鱼获取信息

对手可能会发送钓鱼消息以获取可在目标过程中使用的敏感信息。钓鱼获取信息是试图欺骗目标透露信息，通常是凭证或其他可操作的信息。钓鱼获取信息不同于网络钓鱼，因为目标是从受害者那里收集数据，而不是执行恶意代码。 所有形式的钓鱼都是电子传递的社会工程。钓鱼可以是有针对性的，称为鱼叉式网络钓鱼。在鱼叉式网络钓鱼中，对手将针对特定个人、公司或行业。更一般地，对手可以进行非针对性的钓鱼，例如大规模凭证收集活动。 对手还可能尝试通过电子邮件、即时消息或其他电子对话方式直接获取信息。(引用: ThreatPost Social Media Phishing)(引用: TrendMictro Phishing)(引用: PCMag FakeLogin)(引用: Sophos Attachment)(引用: GitHub Phishery) 受害者还可能收到钓鱼消息，指示他们拨打电话号码，对手在电话中尝试收集机密信息。(引用: Avertium callback phishing) 钓鱼获取信息通常涉及社会工程技术，例如冒充有理由收集信息的来源（例如建立账户或妥协账户）和/或发送多个看似紧急的消息。另一种实现此目的的方法是伪造或欺骗(引用: Proofpoint-spoof)发件人的身份，这可以用来欺骗人类接收者以及自动化安全工具。(引用: cyberproof-double-bounce) 钓鱼获取信息还可能涉及规避技术，例如删除或操纵被滥用发送消息的被破坏账户的电子邮件或元数据/头部（例如，电子邮件隐藏规则）。(引用: Microsoft OAuth Spam 2022)(引用: Palo Alto Unit 42 VBA Infostealer 2014)