随着虚拟世界越来越依赖基于身份的授权，基于身份的网络攻击已成为日益严重的威胁。最新发布的“2023 年数字身份安全趋势”报告指出，报告显示，在过去一年中，90%的组织至少遇到过一次与数字身份有关的漏洞。基于身份的攻击专门针对并破坏个人、组织或实体的数字身份。这些攻击包括网络犯罪分子使用的各种技术和方法，利用与身份和访问管理相关的漏洞。
基于身份的攻击旨在窃取、操纵或滥用与身份有关的信息，如用户名、域名、电子邮件地址、密码、个人数据或数字证书。其主要目的通常是在伪装成合法用户或实体的情况下，未经授权访问系统、数据或资源，实施欺诈或进行恶意活动。这些攻击主要利用与计算机或网络环境中身份管理、验证或认证方式有关的漏洞。
它们的形式多种多样，对网络安全、隐私以及在线系统和服务的完整性构成重大威胁。最常见的类型包括网络钓鱼攻击，通常涉及冒充合法组织或个人等可信实体，诱骗用户泄露用户名、密码或银行信息等敏感信息。网络钓鱼电子邮件、网站或信息被用来窃取这些凭证。凭证填充或利用了人类在多个平台上使用同一组密码的心理，因为这样就无需记住多个密码。这种攻击的一个著名案例是 2013 年臭名昭著的 Target 数据泄露事件。这次入侵事件是历史上最重大的基于身份的攻击事件之一，攻击者利用窃取的登录凭证潜入与 Target 网络连接的供应商系统，最终泄露了超过 4100 万消费者的个人和财务数据。随后，塔吉特的销售点（POS）系统被安装了恶意软件，造成了巨大的经济损失，包括调查成本、网络安全增强成本和法律和解成本，总计达 1.9 亿美元。
中间人攻击，拦截双方之间的通信，允许攻击者窃听或更改传输的数据。这可能涉及冒充通信双方中的一方，以获取敏感信息。社交工程攻击以导致身份泄露而闻名，主要依靠操纵人的心理而非技术漏洞。社会工程人员使用的方式包括利用人类行为、信任和社会规范来实现其恶意目标。仅靠技术来控制这种人为因素是一项艰巨的挑战。因此，尽管员工培训和提高认识计划并非无懈可击，但也至关重要。
基于身份的攻击有多种形式，之所以被视为重大威胁，有几个原因。网络犯罪分子可以利用被盗身份从事各种恶意活动，如金融欺诈、税务欺诈或身份盗用。被盗身份还经常提供对敏感数据和资源的访问权限。例如，被泄露的员工身份可用于未经授权访问公司的内部系统、机密数据或商业机密。成为身份攻击受害者的个人可能会因欺诈交易、未经授权访问银行账户或未经授权使用信用额度而遭受重大经济损失。对于组织而言，涉及被盗身份的漏洞会严重损害其声誉。客户和合作伙伴可能会对企业保护敏感信息的能力失去信任。
因此，企业正在积极采取措施，以防范这一威胁。根据 2023 年的一项调查，超过 60%的公司已将数字身份的管理和安全提升为三大优先事项。此外，这些公司中约有一半已投资网络保险，以防范身份相关事件。
基于身份的攻击在不断演变，其复杂程度也在不断提高。攻击者使用先进的技术来窃取身份信息，例如钓鱼电子邮件，这些电子邮件与合法通信非常相似，或者利用社会工程学策略来操纵个人泄露他们的凭据。犯罪分子经常进行有针对性的攻击，将重点放在特定的个人或组织上。为了制造更难以察觉的攻击，他们投入时间收集情报，针对选定的目标调整战术。这些攻击者采用一系列技术和工具来掩盖他们的活动，包括通过多个服务器路由他们的行动，以及利用 Tor 等匿名技术。被窃取的数据通常在暗网上进行货币化，这给破坏分发和共享链条造成了巨大障碍，从而使将攻击归咎于特定个人或团体的工作变得更加复杂。
即使减轻了基于身份的攻击，仍然存在后续攻击的风险。攻击者可能在最初的攻击中获取了有价值的信息，并在未来的攻击中加以利用。
法律，如欧盟《通用数据保护条例》（GDPR)和加州消费者隐私法)对企业的个人数据保护提出了严格要求。违规行为可能导致巨额罚款和法律诉讼。除法律处罚外，企业还可能面临与诉讼相关的成本，包括律师费和和解费。在一起重大事件中，Equifax 被要求支付高达 1.7 亿美元的赔偿金，由于数据泄露，Equifax 被要求向受影响的消费者支付高达 5.75 亿美元的赔偿金，并向各州支付 1.75 亿美元的民事罚款。这次数据泄露事件的起因是该公司未能及时处理其系统中的一个已知漏洞。
要防止基于身份的攻击，就必须采取全面、主动的安全措施，包括技术措施和用户教育。以下是一些建议措施：
通过实施这些预防措施并在企业内部培养网络安全意识文化，可以大大降低身份攻击的风险，并增强整体安全态势。重要的是要保持警惕，适应新出现的威胁，并不断教育员工和利益相关者了解不断变化的网络安全形势。开始使用我们的 SecurityGateway 并加强您的电子邮件防御-联系我们了解更多信息！