用户遭受钓鱼攻击 微软正在秘密调查?

微软星期四(10月4日)在匹兹堡举行的反钓鱼攻击工作组电子犯罪峰会上发布了这项研究的调查结果以及这项研究使用的方法。

　　微软研究院去年在三个月的时间里跟踪了下载"Phish Detective"插件的50多万网络用户重复使用口令的情况。这个插件是Windows Live OneCare Advisor软件包的Windows Live工具条的一部分。微软研究院的一位研究人员Cormac Herley称，微软跟踪这些用户的目的是确定有多少使用这项服务的用户变成了钓鱼攻击的受害者。
　　Herley称，这项调查发现，每年有大约0.4%的网络用户向钓鱼攻击网站提供了信息，不过，目前还不清楚这些钓鱼攻击造成了多少金钱损失。

　　Herley介绍说，跟踪网站之间重复使用口令是设法确定钓鱼攻击的一种合乎逻辑的方法，因为这种方法模仿了用户沦为钓鱼攻击陷阱的受害者时发生的情况。当用户遭到成功的钓鱼攻击时，用户将用典型的用户名和口令登录一个钓鱼攻击网站。用户实际上将登录一个假冒的网站，如假冒的美国银行网站。钓鱼攻击者将立即重新使用那个用户的登录信息登录真正的银行网站以访问用户的账户。

　　当Phish Detective(检测钓鱼攻击)插件用户使用相同的口令登录两个不同的网站时，Phish Detective就把URL信息发送到微软的服务器。有些网站访问是合法的重复使用口令，因为许多网络用户对于他们经常访问的许多网站都使用相同的口令。然而，有些是非法的，这是用来检测钓鱼攻击的活动。

　　Herley称，很容易跟踪哪些重复使用的口令是合法的，例如，当一个用户使用同一个口令登录eBay网站，然后又登录雅虎电子邮件账户，这就是合法的。确定一个重复使用的口令好像是钓鱼攻击也很简单，因为这个口令会用来登录你重来没有听说过的网站。

　　Herley称，微软尽了很大的努力保证通过Phish Detective收集数据不侵犯用户的隐私。微软没有通过这个工具提取具体用户信息和具体的口令信息。微软仅仅跟踪口令重复使用的情况和记录URL信息。微软还用一个第三方的审计工具来坚持隐私标准。

　　Herley不愿意对微软是否将把Phish Detective的应用扩展到其它产品发表评论，如扩展到已经有反钓鱼攻击功能的IE浏览器中。当前版本的IE 7浏览器包含一个反钓鱼攻击过滤器，能够把有关钓鱼攻击网站的信息发送给微软。据微软当前的产品计划显示，IE 8将在2008年年底或者2009年年初推出。