फ़िशिंग के ज़रिए लोग अपने क्रेडेंशियल्स, पैसे या एक्सेस हासिल कर लेते हैं। हमलावर किसी भरोसेमंद संस्था का रूप धारण करता है: जैसे बैंक, सहकर्मी, सॉफ़्टवेयर विक्रेता या सरकारी एजेंसी। संदेश में जल्दबाज़ी का भाव दिखाया जाता है। जैसे, "आपका खाता बंद कर दिया जाएगा। भुगतान में देरी हो रही है। पैकेज डिलीवर नहीं हो सका।" लिंक पर क्लिक करें, अपना पासवर्ड डालें और हमलावर को अपना काम मिल जाता है।

डेटा लीक में फ़िशिंग सबसे आम प्रारंभिक पहुँच का ज़रिया है। यह इसलिए कारगर है क्योंकि यह सिस्टम को नहीं, बल्कि लोगों को निशाना बनाता है। तकनीकी नियंत्रण मददगार होते हैं। ईमेल फ़िल्टर जाने-माने फ़िशिंग डोमेन को पकड़ लेते हैं। DMARC और SPF नकली वेबसाइटों की नकल करना मुश्किल बना देते हैं। लिंक स्कैनर उपयोगकर्ताओं द्वारा क्लिक करने से पहले URL की जाँच करते हैं। लेकिन फ़िल्टर कुछ चीज़ें नज़रअंदाज़ कर देते हैं। किसी वैध खाते से भेजा गया एक सुनियोजित फ़िशिंग ईमेल हर जाँच को पार कर जाता है। प्रशिक्षण भी मददगार होता है, हालाँकि यह समस्या का समाधान नहीं है। लोग व्यस्त होने, ध्यान भटकने या डरे होने पर क्लिक कर देते हैं। सबसे अच्छा बचाव फ़िल्टरिंग, प्रशिक्षण और MFA का संयोजन है। यदि पासवर्ड चोरी हो जाता है, तो MFA लॉगिन को रोक देता है। यदि किसी प्रॉक्सी के माध्यम से MFA को बायपास किया जाता है, तो व्यवहार संबंधी पहचान इस गड़बड़ी को पकड़ लेती है। कोई भी एक सुरक्षा परत पर्याप्त नहीं है।

सामान्य फ़िशिंग प्रलोभन

• खाता निलंबन चेतावनी
• फर्जी चालान और भुगतान अनुरोध
• डिलीवरी सूचनाएं
• पासवर्ड रीसेट अलर्ट
• साझा दस्तावेज़ सूचनाएं

फ़िशिंग ईमेल को डिलीट करने के बजाय उनकी रिपोर्ट करें। सुरक्षा टीम को यह जानना ज़रूरी है कि कौन से ईमेल उन तक पहुँच रहे हैं।