对于钓鱼软件来说，“鱼饵”的设置至关重要。360手机卫士安全专家表示，从钓鱼短信号码看，攻击安卓手机用户的钓鱼短信主要分为三大类：冒充银行（49%），冒充个人（43%）和冒充运营商（8%）。“由于钓鱼软件能够向通讯录中联系人群发短信，利用熟人传播，所以个人号码占据一定比例。”

　　图1：2016年Q4360手机卫士拦截钓鱼短信条数及类型占比

　　钓鱼软件通常以精心设计的虚假页面、诱导性的文字图片，以假充真。360手机卫士安全专家提醒称：“钓鱼软件的目的在于‘偷’，不但能够将用户在虚假页面上输入的包括银行卡、账号密码等重要隐私信息进行回传，还会窃取用户手机中的短信、联系人等信息，通过不法手段收集用户重要的个人信息，危害用户隐私和财产安全。”

　　图2：钓鱼软件盗取的个人信息分类

　　2016年，根据360互联网安全中心对钓鱼软件盗取的个人信息类型的抽样分析看，有67.4%的软件会窃取短信信息，34.8%的软件会窃取手机银行信息，10.0%的软件会窃取手机联系人信息，还有一小部分软件会窃取手机通话记录和社交软件的聊天记录，甚至连手机录音与照片信息也不放过。

　　图3：钓鱼软件陷阱

　　整体而言，国内钓鱼短信主要有三大源头：一是不法分子非法获取的公民个人信息，利用这些信息有选择性的发送带有钓鱼软件下载链接的短信；二是通过临时搭建的伪基站，在一定半径内范围内的手机信号，之后使用任意号码强行向其影响范围内的手机发送伪基站短信息；三是通过熟人关系，部分钓鱼软件带有遍历通讯录，向联系人群发短信的恶意行为，这也就是用户经常收到来自通讯录中好友发来的请柬、聚会照片、订单、艳照等等带链接的短信。

　　图4：国外钓鱼软件在手机应用上覆盖虚假提示框

　　尽管“偷窃”的核心思路相同，但国内与国外的钓鱼软件在表现形式上却大相径庭。专家补充说：“国内主要是通过打开伪基站发送的仿冒运营商和银行的短信中的恶意链接，这些链接指向钓鱼页面或者是钓鱼软件的下载地址，窃取用户主动输入的信息。或利用熟人关系，降低受害人警觉性，诱骗其下载，安装运行后无需用户主动输入，直接窃取用户手机中隐私信息。”

　　“国外则主要是通过监控特定APP运行时，覆盖在应用上面一层虚假的提示框，提示框内容大多是添加信用卡、仿冒的登录界面等。”

　　专家建议，移动端的安全保障不仅需要用户提高自身安全意识，主动使用360手机卫士等安全管理软件。同时，面对移动平台黑色产业链的威胁，也需要系统厂商、手机厂商及安全厂商协同联动，共建移动生态安全。

（责任编辑：张厚为）