2022年商业电子邮件欺诈攻击激增81% 仅有2%已知攻击被标记

安全419关注到，Abnormal Security近日发布一份新的研究内容显示，有记录的商业电子邮件欺诈攻击（BEC攻击）在2022年增加了81%，在过去两年中增加了175%，而在关键的恶意邮件打开率这一数据方面，也同样出现了大幅增长。据了解，Abnormal Security的这些数据是对其客户数据分析后所得。



这项研究发现，在2022年的下半年中，基于文本的BEC电子邮件的打开率中位数达到了28%，可接触到这些恶意邮件的人员可以涉及到组织内的所有级别员工，其中有
78%的销售员工（以新入职不长的人员为主）会阅读并回复自己收到的恶意邮件，这并不奇怪，毕竟从销售的岗位就要求要对一些“机会”表现得非常敏锐，尤其是体现在新员工上，他们迫切的希望能够收获业绩。
 
在行业方面，研究显示交通行业的员工最有可能回复此类恶意邮件（16%），其次是汽车行业（9%）和医疗健康行业（8%）。如果从整体分析去看的话，企业内部员工阅读并回复的恶意邮件数量占比达到了15%。
 
报告警告称，攻击者越来越多地使用来自于公开网站、机构披露的信息，甚至将从目标组织的网站收集的开源情报来进一步的优化他们的恶意邮件，以使其更具说服力，欺骗性更强。
 
在这份研究当中，还有一个特别值得关注的数据——只有2%的已知攻击被标记，这意味着受访企业在内部的相关安全意识和技能培训方面是相当不到位的，当发现可疑情况时，要么成为受害者，要么就视而不见，而安全团队几乎获取不到任何有效的信息，导致此类攻击仍然在企业内继续横行。
 
如果说一些较大规模的企业对于安全比较重视，相关安全建设比较到位的话，那么出现上述问题较多的主要会集中在中小企业上，而但更令人担忧的是——BEC攻击开始越来越多的针对中小企业，报告指出，针对中小企业的商业电子邮件欺诈攻击增加了145%。Abnormal Security建议企业必须在对员工进行安全教育的同时考虑引入技术解决方案，从而可以形成一种多层更具纵深的防御措施。
 
在我们看来，通过教育+技术（或产品）的多层防御能力建设固然会收获更好的安全效果，但对于中小企业而言，在针对BEC攻击方面去同时做更多投入可能会受到资金层面的限制，因此我们一直坚持抵御此类攻击最好的方式就是教育+演练，在成本相对可控的情况下，以尽可能地实现对风险的控制，降低被成功攻击的可能性，具体的方式方法可以参考安全419此前文章。（扩展阅读：员工缺乏安全意识是种“慢性病” 有效的安全教育培训需分三步走）
 
另据Abnormal security研究人员发布的最新内容显示，被称为"Midnight Hedgehog,"的攻击者组织正在积极利用多语言（至少13种）能力发动BEC攻击活动，该组织的特点是会研究目标组织的管理层级及汇报关系，随后创建模拟真实账户的BEC攻击账户，冒充高管对其全球各地的企业进行攻击，目标主要是组织的财务经理或其他负责发起公司金融交易的高管。
 
虽然目前尚无明确的内容显示该组织会利用中文对相关企业发动攻击，但并不排除此种可能，因此建议企业需做好防备工作。