钓鱼事件声明

2018年9月11日，一家网络安全公司通报，其发现注入英国航空官网的恶意代码，表明近期英国航空供应链钓鱼攻击中的黑客采用了一种日益常见的攻击手段：利用大型网站嵌入来自第三方供应商的代码片段。

报告显示，Comodo CA 向攻击涉及域名 baways.comSSL 证书颁发的一份 采用了Comodo CA 域名验证（DV）证书。目前 Comodo CA 已吊销颁发给 baways.com 的 DV 证书。

Comodo CA 于2018年8月中旬遵照所有行业标准 颁发了该 DV 证书。CA/浏览器论坛制定的基线要求.

尽管证书颁发机构（CA）能够且必须按照对应验证级别（EV, OV、 或DV）对证书申请者进行身份核验，但无法在证书实际投入使用前预先判断申请者的意图。

钓鱼攻击的形式多种多样，部署 可降低其中多数钓鱼手段的有效性。扩展验证（EV）证书. 域名验证（DV）证书仅在申请者证明其对申请证书对应域名拥有所有权后才会颁发。EV 证书需经过额外的组织身份审核，要求申请主体以申请名称实际开展运营，为证书申请人增设了一道审核环节。访问使用 EV 证书的网页时，站点访客除看到锁形标识外，还会看到绿色地址栏，这代表该证书经过了更高级别的验证。

更新日期：2018年9月19日

2018年9月19日，一家网络安全公司报告，其发现注入新蛋（Newegg）官网的恶意代码，表明此前发动英国航空供应链钓鱼攻击的黑客再次采用了这种日益常见的攻击手段：利用大型网站嵌入来自第三方供应商的代码片段。

报告显示，Comodo CA 向攻击涉及域名 “neweggstats.com”SSL证书颁发的一份 SSL 证书为 Comodo CA 域名验证（DV）证书。Comodo CA 于2018年8月13日遵照所有行业标准以及 CA/浏览器论坛的基线要求颁发了该 DV 证书，目前已将其吊销。

# # #