国外研究称 多数互联网用户无法识别网络钓鱼

　　网络钓鱼(Phishing，与钓鱼的英语fishing发音相近，又名钓鱼法或钓鱼式攻击)是通过大量发送声称来自于银行或其他知名机构的欺骗性垃圾邮件，意图引诱收信人给出敏感信息(如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息)的一种攻击方式。最典型的网络钓鱼攻击将收信人引诱到一个通过精心设计与目标组织的网站非常相似的钓鱼网站上，并获取收信人在此网站上输入的个人敏感信息，通常这个攻击过程不会让受害者警觉。它是“社会工程攻击”的一种形式。

　　一项基于眼球运动追踪和大脑活动的最新研究表明，电脑用户对于钓鱼攻击迹象的发现上往往太过仓促。

　　伯明翰阿拉巴马大学参与此项研究的专家尼特斯·撒克西纳在该大学网站上的一篇论文中说，“即使用户知道在进行关键操作时应该对钓鱼攻击进行识别，并且下意识地对网站的真实性进行分辨，他们还是常常造成误判。”

　　于是，专家们就想要找到一种可以通过追踪用户的潜意识来检测网络钓鱼的方法，帮助用户从意识上对攻击进行识别。

　　恶意软件

　　恶意软件作为此项研究的目标之一，属于通过部署软件致使在用户浏览网页时以病毒感染电脑的形式进行的基于WEB的攻击。但是对于恶意软件的识别，研究人员却发现了相反的结果。通过对用户眼球运动模式的研究，发现电脑用户在遇到相关警告时处于凝视状态，表明用户确实在阅读相关的警告信息。

　　课课家在研究中发现，用户通常会阅读、并可能会理解、乃至最终遵从恶意软件警告中所包含的信息，如普通浏览器提供的警示信息。并且，绝大多数情况下，用户都会遵从此类警示信息。

　　网络钓鱼

　　但是在对网络钓鱼的研究中却发现，用户常常无法识别网络钓鱼攻击，甚至根本就没有意识到网络钓鱼的发生。

　　网络钓鱼通常通过发送貌似正常的电子邮件诱骗用户提供个人信息或下载恶意软件的形式进行攻击。

　　研究人员发现，在网络钓鱼攻击中，用户的敏感性往往基于其自身的性格特征。也就是说，性格上越是谨小慎微的人，越容易发现网络钓鱼攻击。

　　技术应用

　　研究人员正在研究通过非技术手段来解决各种攻击的检测问题，换句话说，就是研究人们如何通过自身来检测攻击，而不是通过像杀毒软件之类的技术手段。

　　通过非技术手段对网络钓鱼邮件进行检测的方法包括观察其与正常电子邮件的细微差别等。但在技术方面，这样的研究结果会很有价值。

　　未来技术反网络钓鱼和反恶意软件解决方案可能涉及的机制会包括使用“实时神经和人眼特性”来推断用户的“警戒状态”等。

　　通过这些信息，就有可能找出在特定情况下更加值得信赖和靠得住的电脑使用者。

　　失败应用

　　研究人员的一个重要发现就是，在很多情况下，都是用户大脑的潜意识对网络欺骗进行识别，而不是有意识的。即使眼球运动和大脑活动显示用户确实已经看到，用户还是对网络欺骗视若无睹。这对于特定的网络钓鱼和恶意软件来说，是用户注意力的问题。

　　研究人员称，已经可以开始考虑开发检测用户是在全神贯注还是漫不经心的方法，以及检测用户是否只是通过潜意识来识别网络钓鱼攻击的方法。

　　所以，对用户属于小心谨慎型还是粗枝大叶型的确定可以用于反攻击工具的开发。