MFAvsPhishing

MFA

MFA 要求用户提供两种或以上的身份验证因素：你知道的（密码）、你拥有的（手机）、你是谁（指纹）。开启 MFA 可以阻止 99.9% 的账户劫持攻击。

Phishing

Phishing 通过伪造邮件、网站或消息，冒充银行、公司或同事，诱骗用户点击恶意链接或泄露密码。超过 90% 的数据泄露事件始于钓鱼攻击。

MFA

• 阻止 99.9% 的账户劫持攻击
• 三种因素：知识、持有、生物特征
• TOTP 和 FIDO2/WebAuthn 是主流方案

Phishing

• 90% 以上的网络攻击始于钓鱼
• AI 让钓鱼邮件越来越难以识别
• Spear Phishing（鱼叉式钓鱼）针对特定目标更危险

MFA

要求用户提供两种或以上不同类型身份验证因素的安全认证机制

Phishing

通过伪造可信来源的通信诱骗目标泄露敏感信息或执行恶意操作的社会工程攻击

MFA

• 企业账户的安全加固
• 云服务的访问保护
• 合规要求的认证基线

Phishing

• 安全意识培训
• 邮件安全网关配置
• 钓鱼模拟演练

MFA

MFA 是对抗凭证泄露最有效的安全措施。即使密码被窃取，攻击者没有第二因素也无法登录。MFA 的实现方式包括：短信验证码（最弱，易被 SIM Swap 攻击）、TOTP 应用（Google Authenticator）、硬件密钥（YubiKey）、以及 FIDO2/WebAuthn（最强，抗钓鱼）。微软数据显示，启用 MFA 可以阻止 99.9% 的自动化账户攻击。但 MFA 也不是万能的——高级攻击者可以通过实时钓鱼代理（如 Evilginx）绕过 TOTP。

Phishing

Phishing 是最古老也是最有效的网络攻击方式。攻击者伪造可信来源（银行邮件、IT 部门通知、快递短信）诱骗用户点击恶意链接或提供凭证。Spear Phishing 针对特定个人或组织，成功率远高于群发钓鱼。AI 的出现让钓鱼攻击更加危险——LLM 可以生成语法完美、高度个性化的钓鱼邮件，传统的「看语法错误识别钓鱼」方法已经失效。防御需要技术（邮件过滤、DMARC）和人员培训双管齐下。