Area 1 Security日前發布了一份研究報告，數據顯示網絡釣魚電子郵件和BEC商業電子郵件欺詐正在給企業帶來高昂損失。報告還指出，安全意識培訓固然重要，但由于誤報率居高不下，仍然需要采取“人+技術+流程”多管齊下的安全措施來保障企業電子郵件應用的安全。

[[419922]]

報告指出，網絡釣魚是一種有利可圖的商業模式，大多數網絡安全事件都始于網絡釣魚電子郵件。一些看似無害的普通電子郵件卻可能會導致公司范圍內的業務中斷、關鍵數據丟失以及數百萬的財務成本。防止攻擊的一個關鍵方面是深入了解網絡攻擊者的行為模式，并持續監控和分析其活動以預測未來的攻擊。

從勒索軟件、憑據收集器到商業電子郵件入侵 ( BEC ) ，這些難以發現但代價高昂的威脅，每年正在給大型企業用戶造成超過 3.54 億美元的直接損失。

報告關鍵發現：

• 近9%的攻擊使用了身份欺騙策略，例如欺騙、域模擬和顯示名稱模擬。其他常見策略包括憑據收集器 (9.33%)、受損鏈接 (8.96%) 和附件 (3.31%);
• 僅10大機構就占了所有欺詐性網絡釣魚郵件攻擊的56%以上，世界衛生組織(WHO)、谷歌和微軟位居前三名;
• 欺騙性電子郵件正在與BEC攻擊結合，盡管目前數量很少(占威脅的 1.3%)，但卻會導致更加嚴重的經濟損失;
• 超過92%的反饋釣魚郵件其實是良性垃圾郵件或群發郵件，這導致企業IT團隊不得不面對數以千計的誤報干擾。

報告分析師認為：“我們的研究發現，大約 92% 的企業員工所報告網絡釣魚郵件并不是真正惡意的，而是良性的垃圾郵件或群發郵件，這通常會干擾IT團隊發現和阻止實際威脅。而有效的解決方案之一是先發制人的、基于云的電子郵件安全解決方案，可以防止網絡釣魚攻擊收件箱。”

有效防御云電子郵件威脅的三大措施

• 鎖定身份：通過添加多因素身份驗證 ( MFA )等額外保護來保護帳戶和身份。切勿重復使用密碼并始終更改默認密碼。

• 建立針對金融欺詐的協議和流程：建立和培訓應對BEC的預案和流程，以防止 BEC 和金融欺詐帶來財務損失，例如要求多個審批者或“帶外”供應商驗證才能將資金轉移到新賬戶。此外，還需要輔以對應的安全意識培訓，以防陷入網絡釣魚。

• 對電子郵件采取零信任安全方法：必須驗證電子郵件中發生的所有通信。通過評估發件人以外的消息的有效性來消除隱含的信任風險，以降低來自被入侵的合作伙伴可能引入的風險。選擇一個安全系統，可以檢測入侵并控制來自入侵組織的通信，將零信任方法擴展到電子郵件安全。

【本文是51CTO專欄作者“安全牛”的原創文章，轉載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權】

戳這里，看該作者更多好文