知名大厂全体员工遭遇工资诈骗？邮件安全真该注意了

‍‍‍‍‍‍‍

近日有媒体报道，某大厂全体员工收到诈骗邮件，大量员工按要求扫码并提供了银行账户等敏感信息，结果可想而知，被骗人数和损失金额巨大。

防不胜防！其实，一直以来，商业邮件诈骗(BEC)事件屡见不鲜。从美国硅谷著名风险投资公司遭受BEC攻击，再到针对新冠疫苗厂商的攻击……在社交工程邮件（“社工”邮件）诈骗流行的30多年里，为何此类攻击手段能够让不法分子屡屡得手呢？我们又该如何防范？

BEC攻击具有隐蔽性与普遍性特点

“商业电子邮件诈骗(BEC)” 是一种复杂的骗局，通过社会工程学和网络入侵等方式，诱骗相关人员将钱转入看起来是可信赖合作伙伴而实际上却是犯罪分子的银行账户，或者诱使员工或客户泄露重要的敏感信息。所以，BEC攻击也常被称为“变脸”攻击，对象主要是针对企业的高层管理和财务人员。诈骗者只需伪装成企业CEO 、CFO或其他高管，并说服其他高管或客户在短时间进行经济交易，或者骗取相关重要信息，而犯罪者一旦成功实施诈骗，便可从中获得巨大经济回报，对相关企业造成重大的经济损失。

基于研究发现：因这些攻击来自信任的对象，且信件内容甚至是口吻都十分熟悉，再加之要求回复的时间紧迫，用户自然难以识别真假。其次，由于BEC攻击往往不携带可检测拦截的URL或恶意附件等攻击载荷，因而能轻易地避开大多数传统的安全防护技术，让传统的邮件安全解决方案难以识别。而从技术层面来讲，BEC又是一种相对技术含量较低的金融欺诈，但可为诈骗者带来高回报，而风险却很小，因此让其在网络诈骗中广泛使用。

检测BEC攻击

安全意识是检测BEC攻击的关键。以下是一些防止攻击的方法：

实施全面的安全意识计划——该计划应面向员工，并应详细说明BEC攻击的详细信息。它应该培训用户辨别潜在的恶意电子邮件，识别任何可疑的请求，最重要的是，告知员工在任何情况下都不要回复有潜在风险的电子邮件。

防范机制

“人”是安全链条中最薄弱的一环，因此抵御或者说减少社会工程学的有效之道还是以人为中心的信息安全文化模型的创建。但是这种结合了复杂的“社工”技巧的攻击防范并不简单，员工需要通过系统、长期的培训，提升识别假冒邮件的能力，以及网络社交工具的良好使用习惯。

2.保护您的域名免受欺骗

域名欺骗是一个非常真实且常见的安全问题，公司应优先考虑这一点。就像网络钓鱼或电子邮件欺诈一样，黑客可以通过添加或省略字符来注册与组织极其相似的域，客户或商业伙伴很可能无法检测或注意到这些山寨域名。所以组织可以并且应该注册尽可能多的域名，这些域名与公司的主域名略有不同，以避免域网络钓鱼并最大程度地降低电子邮件欺诈的风险。

3.不要在社交媒体上过度分享

小心你在社交媒体上发布的内容。企业的信息安全负责人也应该建议员工这样做。攻击者可以利用看似无辜的私人信息（出生日期、居住地、兴趣爱好等）来个性化他们的攻击。

4.使用双因素身份验证

使用双因素身份验证，有许多选项可供选择，以帮助增加一层安全性。在这种情况下需要密码和另一种形式的验证，尤其是在处理敏感信息时。这些工具适用于桌面设备以及手机和其他类似设备。

5.强密码策略

使用强密码策略，除了使用强密码外，您还必须要求员工经常更改密码。

2.邮件服务器安全

确保您企业的邮件服务器得到必要的安全保护，强烈推荐邮件服务器采用电子邮件身份验证技术，包括rDNS、DKIM及DMARC等技术。我们还特别鼓励企业多采用S/MIME邮件数字签名技术，能更好的防范电子邮件的商业欺诈。

参考链接

https://mp.weixin.qq.com/s/sAD1Uj1MnsBmYBEsN6wIMQhttps://www.corp-email.com/news/9-info/899.html

END

• 往期精选

windows提权总结

一次SSH爆破攻击haiduc工具的应急响应

记一次艰难的SQL注入(过安全狗)

记一次溯源

下方点击关注发现更多精彩