据BleepingComputer网站报导，一个假冒美国劳工部的互联网钓鱼主题活动以规定收货人递交竞投为旗号，窃取客户的Office 365凭据。
据了解，该钓鱼主题活动早已连续了最少好多个月，并运用了十多个不一样的互联网钓鱼网站来假冒政府部门。电子邮件安全性企业 INKY在一份报告书中表述了该互联网钓鱼进攻是怎样窃取凭据的。
这种电子邮件均由虚报网站域名传出，看上去就好像来源于现实的劳工部(DoL)网站，而有一些则根据一组创好的外型类似，如：dol-gov[.]com，dol-gov[.]us‘，bids-dolgov[.]us等网站域名。
大部分电子邮件根据非营利组织有着的乱用网络服务器来躲避身份验证。
电子邮件发件人装作是DoL的高級职工，邀约收货人为已经开展的政府项目递交招投标。这种电子邮件包括合理的信头、技术专业分配的具体内容及其三页看起来权威性的PDF配件。
钓鱼主题活动中采用的电子邮件实例，来源于：INKY
PDF
包括一个“BID”按键，假如点击该按键，受害者便会进到互联网钓鱼网站。这种网站看上去和真實的DoL网站如出一辙，并会弹出来系统消息，以具体指导受害者进行“招投标”。
偏向钓鱼网站的按键，来源于：INKY
钓鱼全过程最重要的一步是在受害者被正确引导至一个申请注册报表网页页面，规定它们给予Office 365电子邮件详细地址及登陆密码。无论受害者是不是导入恰当，网站都是会弹出来一个虚报报错，哄骗受害者再度键入，以提升所窃取账户的真实有效。
窃取 Microsoft Office 365凭据的注册页面，来源于：INKY
在这里起钓鱼事情中，真实的页面和用语权威性的电子邮件內容展现了互联网钓鱼者的专业水平，这莫不让人觉得忧虑。在这样的情况下，最明显的漏洞便是仿冒的DoL网站规定应用Office 365账号申请登陆，这也是一切美国政府部门网站也没有采用的登陆对策。
在上一年12月也产生过一起相似的事情，互联网钓鱼者假冒辉瑞，并应用纯手工制作的 PDF 配件邀约收货人向药业公司递交招投标，为此来窃取受害者的商务和资产信息内容。
参照来源于：
https://www.bleepingcomputer.com/news/security/phishing-attacks-impersonate-pfizer-in-fake-requests-for-quotation/