如果你也是黑客？由花旗集团被入侵想起

就在这两天，花旗集团(Citigroup)确认其Citi Account Online服务被黑客侵入。黑客窃取了信用卡客户的姓名、帐号、联系信息(包括电子邮件地址)资料，约有1%信用卡用户受到此次黑客袭击影响。花旗表示，客户的出生年月、社保号、卡片到期日和安全码并未遭泄露。

这些被泄露了姓名、帐号、电子邮件地址资料的信用卡客户会面临怎样的恶意欺诈？如果你是黑客，你会怎么做？

其实，这不是一道很困难的题目，之前已经有类似的事件发生过。被泄露资料的信用卡用户无论是否知道本次入侵事件，都面临着十分难以分辨的恶意欺诈。黑客仅仅需要利用“姓”名、“帐号”、“电子邮件”这三个资料，就可以进行一次可信度极高的恶意欺诈。

首先，恶意攻击者可以进行布局，广为宣传花旗集团本次的被入侵事件，同时故意混淆视听，让用户无法得到清晰的泄密事件相关信息(除非用户专门联系花旗集团相关负责人予以确认)。目的在于让用户知道有这样一件事情，以便其无法辨认而接收恶意欺诈者发送的伪造欺诈电子邮件。

然后，黑客假冒花旗集团身份，发送所谓的“警告”电子邮件，让用户尽快修改密码及个人信息。同时，在电子邮件里放置钓鱼网站链接，诱导用户进入恶意攻击者设计好的钓鱼欺诈页面。通过钓鱼欺诈页面，恶意攻击者就可以轻松获得用户的详细个人资料以及账号密码。

由于恶意欺诈者通过社会工程学的方法，广范围制造虚假事件舆论，使得用户无法对警告邮件进行准确分辨，就很容易中招。

实际上，要想防范类似的恶意欺诈很简单。第一，对可疑电子邮件都要仔细分辨。特别是带有链接以及与个人账号、密码相关信息的电子邮件，更需要重点检查。如果邮寄地址来自于自己的朋友、同事、客户那里，一定要通过其他联系方式进行确认，然后再决定是否相信。第二，如果有类似事件发生，要尽快通过电话以及面谈的方式同当事方对事件进行详细的确认。如果能做到上面两点，恶意欺诈的成功率将大大下降。

当遇到安全问题时，我们可以换个角度，以黑客的身份进行思考，反向寻找安全防护方法。这不仅适用于个人用户，对于企业网络安全管理人员同样适用。