在年末清理郵箱已經成為許多人的習慣。經過一個假期的短暫休整，可以從郵箱中清理出很多的垃圾郵件。從2020年的針對收件箱的攻擊的情況來看，多年來為加強電子郵件的安全性所做的努力全部白費了。目前最有針對性的攻擊目標仍然是我們的收件箱。

因此，當我們進入新的2021年之前，總結我們對過去、現在和未來收件箱威脅和趨勢的看法。

在2020年，我們的垃圾郵件中充斥著各種各樣的帶有惡意軟件的電子郵件、鏈接到勒索軟件的釣魚誘餌、假冒的域名信息，以及冒用合法公司名義的惡意請求。那么，該如何定義2020年的垃圾郵件呢?

垃圾郵件肆虐的一年

COVID-19是垃圾郵件和網絡釣魚者使用最多的主題--預計這一趨勢將會持續到2021年。公司讓數以百萬計的工作人員在家辦公。他們要獨自判斷電子郵件的安全性，光是這一點，就讓一些信息安全專業人士表示很擔憂。

Mimecast在其年度總結中寫道：

在家辦公的社會趨勢為犯罪分子提供了可乘之機。犯罪分子迅速改變了他們的攻擊方式。根據Forcepoint X-Labs的數據，網絡攻擊的頻率在4月份達到了一個峰值，每天發送150萬封COVID-19主題的惡意電子郵件。

據Mimecast報道，在疫情發生的前幾個月，零售業成為了域名偽造攻擊的主要目標。

接下來，在遠程辦公趨勢的刺激下，隨著Zoom、Skype和Trello等協作商務工具的普及，導致了大量的收件箱攻擊。本月早些時候有一個典型的攻擊方式，為了竊取視頻會議平臺的登錄憑證，攻擊者會發送Zoom主題的電子郵件、短信和社交媒體信息來進行攻擊。

釣魚攻擊主題的另一大趨勢--2020年美國總統大選。媒體的炒作給了騙子很多的機會，他們開始利用收件箱來傳播惡意軟件。

技術上的更新

除了收件箱的信息詐騙、商業電子郵件泄露(BEC)和電子郵件網絡釣魚攻擊之外，犯罪分子還會利用利用一些技術特性來誘騙受害者。

9月份的一次網絡釣魚活動就利用了疊加屏幕和電子郵件隔離的策略來竊取目標的Microsoft Outlook憑證。4月，蘋果公司修補了這兩個0 day安全漏洞，這兩個漏洞在前兩年被惡意攻擊者廣泛的利用。這些漏洞可被攻擊者遠程利用，如果攻擊者想要利用，只需向受害者的iPhone或iPad上的默認iOS Mail應用中發送郵件，就可發起攻擊。

惡意附件，再次成為收件箱中最主要的攻擊載體

今年卡巴斯基的研究人員報告稱，偽裝成物流服務通知的惡意文件的數量有所增加。他們寫道："我們發現了一個針對銷售崗位員工進行攻擊的郵件。攻擊者勸說收件人打開附件文件，然后支付貨物進口的關稅。附件中包含的不是普通的文件，而是惡意軟件Backdoor.MSIL.Crysan.gen。"。

2020年Verizon數據泄露調查報告(DBIR)發現，惡意電子郵件附件是數據泄露和勒索軟件攻擊的主要原因。統計發現40%的攻擊都使用的是電子郵件鏈接，電子郵件鏈接成為了最常用的感染載體。

2021年收件箱攻擊的防范措施

網絡黑客集團提升了他們的攻擊方式，使用了新的工具，但是我們的郵箱防護工具也是非常強大的。盡管如此，BEC等攻擊還是在2020年給公司造成了巨大的損失。根據FBI的數據，在過去的五年里，BEC攻擊已經給企業造成了260億美元的損失。

這也推動了諸如基于域的消息認證、報告和DMARC等解決方案的普及，這種認證協議有時也被稱為零信任電子郵件模型。DMARC的目的是為了防止電子郵件域名被未經授權使用。當然，DMARC并不是什么新技術，但隨著攻擊受害者數量的不斷增加，這項技術也受到了很多人的關注。

微軟也做出了解決電子郵箱攻擊的嘗試。今年，它推出了一個測試版的Application Guard for Office，它可以隔離惡意的Office 應用文件(包括Word、Powerpoint和Excel)的運行。

但Mimecast的研究人員認為，微軟還有很大的改進空間。在一項針對微軟客戶的研究中，該公司發現近60%的受訪者表示，他們在過去一年中遭遇了微軟365服務的中斷。

他們補充道："如果出現了哪怕是短暫的中斷，用戶都有可能會放棄使用企業的安全措施來開展業務"

人：最薄弱的環節

關于垃圾郵件威脅的的過去、未來和現在，可以用這種二方法來概括。

作為員工，我們對電子郵件都有警惕心理。但我們也是人，容易受到情緒和沖動行為的影響。而且我們有時候會對安全工具有錯誤的認識和理解。例如，虛擬專用網可以保護連接，但無法過濾魚叉式釣魚攻擊，收件箱成為我們網絡安全中非常薄弱的一環。

基于網絡技術的安全解決方案以及州和聯邦的反垃圾郵件法只能解決部分問題。Iomart最近對英國企業的研究發現，只有8%的企業會為遠程辦公的員工進行定期的安全培訓。

Iomart的安全總監Bill Strain寫道：

雖然有些人寄希望于2021年出現新的郵箱保護技術，如先進的人工智能技術來屏蔽威脅攻擊，但現實是惡意攻擊者正在使用同樣的技術來構建更先進的攻擊性武器。無論如何，我們都要保持警惕。

本文翻譯自：https://threatpost.com/miserable-spam-year-2020/162566/