什么是商业电子邮件泄露？

商业电子邮件泄露 (BEC) 是一种有针对性的网络攻击，网络犯罪者会冒充值得信任的人（例如公司首席执行官）向特定个人发送电子邮件，以索取敏感信息或金钱。 在 BEC 攻击中，网络犯罪分子为了确定一个令人信服的假冒身份，需要做一些调查和准备工作。

继续阅读，深入了解商业电子邮件泄露以及组织应如何防范这类攻击。

商业电子邮件是如何泄露的

为了实施商业电子邮件泄露攻击，网络犯罪分子首先要对潜在攻击目标展开调查。 调查内容包括了解目标公司的情况、所在行业以及组织结构，以便在攻击时能够获取正确细节。 BEC 攻击通常比其他类型的网络攻击更有针对性，正因为如此，人们往往会更容易上当受骗。

一旦锁定攻击目标和冒充对象，网络犯罪分子就会向目标发送电子邮件，自称是同事、高层管理人员、供应商、合作伙伴或其他值得信任的人。

有了令人信服的假冒身份后，网络犯罪分子会向目标发送紧急电子邮件，并且会编造一个有说服力的故事，也称为借口。 故事的目的是说服目标给他们汇款或透露其他敏感信息。 网络犯罪分子还可能会根据需要建立欺骗网站，以便让自己的请求看起来合法。

BEC 攻击常常瞄准有权访问高度敏感系统和数据的中层员工，例如财务或人力资源员工。 这类员工可以访问其他员工的个人身份信息 (PII)，并且有权发放付款。 网络犯罪分子还可能会选择组织内的新员工作为攻击目标，因为新员工还没有接受太多安全培训，或者缺乏程序意识。

It’s important to understand that cybercriminals carry out BEC attacks over a period of time. They will often communicate with their targets until they have a better understanding of who has access to what and when certain payments are made out to vendors. They may even attempt to compromise their target’s email account so they can pose as them to their email contacts and make launching their attack seamless.  

商业电子邮件泄露 vs. 网络钓鱼：有何不同？

网络钓鱼是一种网络攻击，网络犯罪分子会利用社会工程学手段说服目标受害者相信他们的伪装身份。 目的是让受害者透露敏感信息，如账户登录信息或信用卡账号。

商业电子邮件泄露是网络钓鱼攻击的一种，称为鱼叉式网络钓鱼。 鱼叉式网络钓鱼以特定个人或群体为目标，一般通过恶意电子邮件发起攻击。 不同于一般的网络钓鱼攻击，BEC 攻击更具针对性，这意味着目标个人是由网络犯罪分子专门挑选出来的，并且是有原因的。

商业电子邮件泄露示例

以下是几个商业电子邮件泄露的例子：

CEO 欺诈

在 CEO 欺诈中，网络犯罪分子会冒充某个组织的首席执行官，以获取目标员工的信任。 与潜在目标建立信任后，网络犯罪分子就会要求他们汇款或透露敏感信息。

有一种常见的 CEO 欺诈骗局您可能听说过，就是礼品卡诈骗，网络犯罪分子会要求目标购买一定数量的礼品卡，并将卡号告诉他们。 随后，网络犯罪分子会用这个卡号去兑换礼品卡上的钱。

电子邮件账户泄露 (EAC)

EAC 是许多网络犯罪分子在实施 BEC 攻击时会用到的方法。 借助 EAC，网络犯罪分子可以访问员工的电子邮件账户，通过浏览他们的联系人名单来寻找有价值的关系，例如供应商、合作伙伴或销售商等。 在确定想要联系的人后，网络犯罪分子会向其发送一封电子邮件，要求他们支付伪造发票。

商业电子邮件泄露的风险

如果组织不采取安全防范措施，商业电子邮件泄露攻击可能会带来毁灭性的影响。 遭受 BEC 攻击后，组织会面临重大金钱损失和声誉损害，甚至可能会有代价高昂的法律后果。

BEC 是组织面临的最常见的网络攻击之一，因为网络犯罪分子可以从中谋取钱财。 据 Microsoft 称，2022 年 4 月至 2023 年 4 月期间，他们发现并调查了 3500 万次 BEC 尝试， 平均每天就有 156,000 次。

如何防范商业电子邮件泄露

采用下面介绍的几种方法，组织可以防范商业电子邮件泄露或减轻其影响。

使用唯一的强密码

每个员工电子邮件账户都应采用唯一的强密码，且该密码不可重复用于任何其他账户。 依靠员工创建自己的密码会带来风险，因为他们通常使用容易记住的弱密码，因此很容易被破解。

为了防止员工使用弱密码，各个组织都应投资一款商业密码管理器。 商业密码管理器是一种可扩展工具，可协助员工创建、管理并安全存储所有密码， 并且支持员工在必要时与同事或承包商安全共享密码。 借助商业密码管理器，IT 团队可以轻松审核密码并识别弱密码或被盗密码。

要求员工使用 MFA

多因素身份验证 (MFA) 可额外提供一层安全保护，在任何可用的情况下都应添加到账户中。 MFA 可以验证试图登录账户的人是否与其所说的身份相符。 一旦发生安全漏洞或 BEC 攻击，MFA 可以阻止网络犯罪分子访问账户，因为他们无法验证自己的身份。

利用商业密码管理器，IT 团队能够强制员工账户使用 MFA，从而提高账户安全性。

投资 PAM 解决方案

权限访问管理 (PAM) 是指组织对高度敏感的系统、数据和账户访问权限实施的管理和保护措施。 其中包括薪资系统、管理账户等。 由于 BEC 攻击经常针对有权访问高度敏感系统的员工，因此组织必须始终安全管理这类系统的访问权限，防止滥用和泄露。

开展员工教育培训

保护组织免受 BEC 攻击的最佳方式之一是对员工进行网络安全最佳实践教育培训。 教育员工永远不要在社交媒体账户上过度分享，因为网络犯罪分子可以利用这些信息发起有针对性的攻击。 还应教员工如何识别 BEC 攻击，以免他们轻易上当受骗。

应纳入员工教育培训的网络安全最佳实践有很多，除上述两条外， 还应告诉员工要及时获取最新的网络安全资讯，以便了解最新的网络威胁。

时刻防范商业电子邮件泄露

对各种规模的组织来说，商业电子邮件泄露仍然是一种威胁。 为了减轻这一威胁，组织应时刻保持警惕，实施网络安全防范措施和工具，如密码管理器和 PAM 解决方案。

组织可以考虑的一种 PAM 解决方案是 KeeperPAM™。KeeperPAM 将三种解决方案整合为一个统一平台：Enterprise Password Manager (EPM)、Keeper Secrets Manager (KSM) 和 Keeper Connection Manager (KCM)。 借助 KeeperPAM，组织可以轻松保护密码、密钥和远程连接。

欲详细了解 KeeperPAM，请立即申请演示。