“社工”邮件再爆雷 BEC攻击如何有效防范？

媒体披露，美国硅谷著名风险投资公司红杉资本，于上周五遭遇网络钓鱼攻击，许多投资者的个人和财务信息可能已被第三方窃取。针对黑客此次攻击使用的BEC攻击（也称“商业电子邮件欺诈”），亚信安全提醒企业用户可以通过部署深度威胁邮件网关（DDEI），结合专家规则和机器学习技术，通过寻找攻击标识和邮件意图来识别欺诈邮件，同时应对员工进行防社会工程学技能培训，以及采用多重验证手段提升BEC攻击的防范能力。

BEC攻击具有隐蔽性与普遍性特点

“商业邮件诈骗（BEC）” 是一种复杂的骗局，通过社会工程学和网络入侵等方式，诱骗相关人员将钱转入看起来是可信赖合作伙伴而实际上却是犯罪分子的银行账户，或者诱使员工或客户泄露重要的敏感信息。所以，BEC攻击也常被称为“变脸”攻击，对象主要是针对企业的高层管理和财务人员。诈骗者只需伪装成企业 CEO、CFO或其他高管，并说服其他高管或客户在短时间进行经济交易，或者骗取相关重要信息，而犯罪者一旦成功实施诈骗，便可从中获得巨大经济回报，对相关企业造成重大的经济损失。

【图：BEC邮件】

BEC在原理上并不新鲜，并且这类社交工程邮件（“社工”邮件）的骗局甚至已经流行了30多年。但是，BEC攻击为何能够让不法分子屡屡得手呢？

对此，亚信安全基于研究发现，因这些攻击来自信任的对象，且信件内容甚至是口吻都十分熟悉，再加之要求回复的时间紧迫，用户自然难以识别真假。其次，由于BEC攻击往往不携带可检测拦截的URL或恶意附件等攻击载荷，因而能轻易地避开大多数传统的安全防护技术，让传统的邮件安全解决方案难以识别。而从技术层面来讲，BEC又是一种相对技术含量较低的金融欺诈，但可为诈骗者带来高回报，而风险却很小，因此让其在网络诈骗中广泛使用。

技术+意识，双管齐下治理BEC

当前，微信、QQ等各种即时通讯工具随手可用，但这并不意味着Email已经过气，作为日常工作中极为重要的通信工具，尤其是企业用户，电子邮件往往意味着“正式”的沟通或者决策。因此，亚信安全建议企业级用户应从以下两个方面建立BEC防范机制：

一．用AI技术完成邮件安全能力升级

钓鱼邮件、鱼叉邮件、BEC邮件都是利用社会工程学进行攻击的，这超越了传统邮件网关的防御能力。而部署具备高级威胁防御能力的邮件安全设备，例如亚信安全深度威胁邮件网关（DDEI），不仅可以利用机器学习及人工智能技术识别BEC类的定向攻击邮件，还能利用定制化沙箱模拟附件或URL打开过程，判断附件或URL是否夹杂高级恶意程序，对包含加密勒索软件，以及具备APT攻击属性的邮件进行甄别防御。

【图：亚信安全DDEI工作模型】

二．树立“社工”攻击防范意识

“人”是安全链条中最薄弱的一环，因此抵御或者说减少社会工程学的有效之道还是以人为中心的信息安全文化模型的创建。但是这种结合了复杂的“社工”技巧的攻击防范并不简单，员工需要通过系统、长期的培训，提升识别假冒邮件的能力，以及网络社交工具的良好使用习惯。