一封暗藏玄機的電子郵件，能夠對企業造成多大傷害?

　　近日，硅谷頂級風險投資公司紅杉資本遭遇的釣魚郵件攻擊，再次給企業界敲響了網絡安全警鐘。紅杉資本表示，在該公司近期遭遇的網絡釣魚攻擊中，投資者的個人信息和財務信息可能已被第三方竊取。

　　聲譽是金融機構賴以生存的生命線。除了直接經濟損失，網絡安全事件也無疑會影響客戶及公眾對于金融機構的信心。不幸的是，金融機構掌握的巨量財富、高價值信息和社會資源，正是黑客們最渴望捕獲的“獵物”。摩根大通CEO杰米·戴蒙(Jamie Dimon)曾在股東信中表示，毀滅性的網絡攻擊可能是美國金融體系面臨的最大風險，該銀行每年在網絡安全方面的投入接近6億美元。

　　隨著產業數字化進程的加速，網絡攻擊會給企業帶來越來越致命的威脅，紅杉事件成為這種威脅最新、最真實的注腳。騰訊安全技術專家認為，在當前環境下，亡羊補牢式的網絡安全觀已經不合時宜，企業一把手亟需建立“安全左移”的觀念，做好主動規劃和前瞻防御，構建全面的企業安全免疫系統。

　　釣魚郵件“攻陷”頂級VC

　　據外電報道，今年2月，外部黑客對一名紅杉員工進行了郵件釣魚攻擊，從而獲得了投資者的郵件地址。隨后，攻擊者根據獲得的郵件地址，仿冒紅杉員工向投資者們發送BEC(商業欺詐郵件)，可能已經訪問了投資者的個人信息和財務信息。

　　此次黑客使用的BEC攻擊，其本質原理是通過高度模仿企業員工或合作伙伴的惡意賬號，向他人發送個性化的電子郵件。這些具有針對性的個性化郵件十分具有迷惑性，極易誘使客戶、合作伙伴泄漏敏感信息或轉賬，從而造成信息泄露，甚至造成資金損失。

　　騰訊安全技術專家表示，BEC攻擊是網絡攻擊中最慣用的手法，技術手段上更多利用高危漏洞來實現。黑客通常會周密地選擇攻擊目標，例如可靠的業務合作伙伴或公司的CEO，因此成功率非常高。美國聯邦調查局發布的年度互聯網犯罪報告指出，在2019年收到的467361起互聯網和網絡犯罪投訴中，幾乎一半的損失來自BEC(商業欺詐郵件)。FBI的數據還顯示，2019年BEC受害人損失達17.7億美元，平均每宗投訴損失額達到75000美元。

　　我國也是遭受BEC攻擊的高發地。國家互聯網應急中心(CNCERT)公布的數據顯示，2019年CNCERT監測到重要黨政機關部門遭受釣魚郵件攻擊數量達50多萬次，月均4.6萬封。另有統計顯示，2019年全國企業郵箱用戶共收到各類釣魚郵件約344.3億封，較2018年增長了68.5%。

　　攜帶漏洞利用惡意代碼的 Office 文檔，是釣魚郵件的主要載荷。去年，騰訊安全威脅情報中心就曾檢測到以PPT文檔為誘餌的釣魚郵件攻擊。經分析發現，黑產組織投遞的釣魚郵件中，附件PPT文檔均包含惡意宏代碼，用戶一旦打開就會啟動惡意程序下載Azorult竊密木馬，導致賬號密碼丟失、信息泄漏等嚴重后果。

　　釣魚郵件給企業造成的損失巨大。全球最大白名單提供商Return Path發布的報告稱，為恢復網絡釣魚攻擊帶來的影響，平均每家大企業每年需要花費370萬美元，包括生產力、消費者服務方面的損失和監管罰款。

　　這還僅僅是釣魚攻擊造成的直接損失。上述報告還顯示，受到電子郵件網絡釣魚攻擊后，消費者不會再信任品牌，品牌的Gmail閱讀率下降18%，Yahoo下降11%。品牌的合法郵件也會被電子郵件服務商歸為垃圾郵件，Gmail電子郵件打開率平均下降10%，Yahoo下降7%。

　　數字時代亟需“安全左移”

　　頻發的網絡安全案件，給企業的信息安全建設敲響了警鐘。隨著我國全面邁向大數據時代，企業對于通信技術和計算機應用的依賴性在不斷增強。一旦遭遇網絡安全事故，企業的資產、業務和聲譽都將蒙受巨大損失，甚至會動搖自身的生存根基。那么，企業如何在享受信息技術紅利的同時，抵御越來越致命的網絡安全風險?

　　最重要的是“安全左移”。 騰訊安全技術專家認為，要把網絡安全建設作為一把手工程重點關注，在生產流程中把安全建設前置。同時，借助AI和大數據技術，提前發現和處置異常，降低高風險環節的權限，主動控制重要數字資產的風險暴露時間窗口，盡最大可能減少受攻擊面。

　　相比“應對”威脅，“提前感知”威脅，顯然是提升安全防護效率、降低安全風險最經濟的方式。因此，威脅情報的安全投入對于企業占據攻防先機至關重要，也是企業在安全左移趨勢下做好安全前置的有效途徑。以騰訊的威脅情報系統為例，該系統可以為企業提供全面準確的、與其相關的、能夠執行和決策的知識和信息，從而協助企業預防各類網絡入侵攻擊，做到“未攻先防”，全力避免潛在損失。

　　另一方面，以“持續驗證，永不信任”為核心的零信任，無論是從安全高配，還是在降本增效方面，都是遠程業務常態化過程中企業進行安全建設的高性價比價值點。即使企業存在被攻陷的風險，在多維身份認證、最小權限動態訪問控制以及可變信任管理等策略的保護下，iOA等客戶端保護方案也能為企業資源的訪問提供持續安全防護。

　　在此次紅杉遭遇的釣魚郵件攻擊事件中，如果能夠事先建立起多層次防御體系，各個層級的安全產品可通過威脅情報系統、安全運營系統有機整合在一起，將有助于最大化降低黑客入侵風險，減少潛在損失。