据 Menlo Security 日前发布的《2023 年浏览器安全状况报告》，针对浏览器的高度规避自适应威胁（HEAT）呈现激增的发展趋势。安全研究人员发现，与上半年相比，2023 年下半年基于浏览器的网络钓鱼攻击增加了 198%，相应的规避攻击增长了 206％。

报告显示，旨在规避传统数据安全控制的规避攻击现占所有基于浏览器的网络钓鱼攻击的 30％。这些复杂的策略包括短信钓鱼、中间人攻击（AITM）框架、基于图像的网络钓鱼、品牌冒充以及多因素身份验证（MFA）绕过。

Menlo Security 的首席执行官 Amir Ben-Efraim 表示：“人类仍然是网络安全链中最薄弱的环节，无意中泄露了企业凭据和机密信息，而威胁行为者则明确将焦点转向了作为初始入口的网络浏览器。”

随着浏览器在托管和非托管设备上的使用率持续飙升，传统的基于网络的安全控制也难以检测到零时网络钓鱼攻击。

对此，Menlo Labs 威胁研究部门说到，在 30 天的时间内，他们发现了超过 11,000 次零时网络钓鱼攻击。值得注意的是，75％的网络钓鱼链接托管在声誉良好的网站上。此外，自 2022 年以来，传统信誉 URL 规避（LURE）攻击增加了 70％，并且在检测到零时网络钓鱼攻击方面存在 6 天的延迟。

Menlo Security 的首席信息安全官 Devin Ertel 表示：“规避技术经过精心制作，可以在雷达下飞行，安全团队很难发现。不幸的是，现代的安全工具（如 SWG 和终端安全）无法阻止攻击者绕过这些保护措施。然而，我们的研究发现，即使这些攻击展示了复杂的规避手段，浏览器安全仍然能够阻止这些零时网络钓鱼攻击。组织必须通过利用各种基于人工智能的方法（包括对象检测、URL 风险评估和网页元素分析）来采取有针对性的浏览器安全方法，以应对当今规避性的网络威胁。”

（来源：网安快讯）