誰(shuí)都沒(méi)想到，一種最古老的攻擊方式，竟然成功襲擊了著名的互聯(lián)網(wǎng)公司。近日，搜狐員工被釣魚郵件詐騙的事件沖上熱搜，盡管搜狐董事會(huì)主席張朝陽(yáng)發(fā)博稱損失影響不大，但這畢竟是件令人詫異的事。然而，事實(shí)上，這只是郵件釣魚威脅的冰山一角。
根據(jù)奇安信威脅情報(bào)中心的持續(xù)跟蹤，推測(cè)該釣魚活動(dòng)可能于2021年12月底左右開(kāi)始，至今約有6000個(gè)域名被用于攻擊。目前該釣魚活動(dòng)還在持續(xù)進(jìn)行中，攻擊者仍在不斷更新升級(jí)系統(tǒng)，更新基礎(chǔ)設(shè)施。
（Photo by Luca Bravo on Unsplash）
國(guó)內(nèi)更多企業(yè)被攻擊。據(jù)《IT時(shí)報(bào)》記者了解，最近多家上海企業(yè)都發(fā)出警惕“詐騙郵件”的警告，包括國(guó)企和互聯(lián)網(wǎng)公司。
專家詳解詐騙流程
釣魚郵件攻擊，自有電子郵箱出現(xiàn)以來(lái)便開(kāi)始存在，稱得上是“古早級(jí)別”的攻擊手段，然而，盡管這種攻擊模式最簡(jiǎn)單，卻也最有效、最具迷惑性。
“這種騙術(shù)已經(jīng)存在好長(zhǎng)時(shí)間了，但最近比較集中的出現(xiàn)，估計(jì)國(guó)內(nèi)受害者相當(dāng)多?！彬v訊安全專家李鐵軍告訴記者，搜狐事件一發(fā)酵，騰訊安全團(tuán)隊(duì)便想起數(shù)星期前其他公司也發(fā)生過(guò)類似的事件，手法完全一樣。
通常情況下，詐騙團(tuán)隊(duì)會(huì)先想方設(shè)法拿到某一個(gè)內(nèi)部員工的ID，然后再冒用其身份給同事發(fā)郵件，并給出一個(gè)二維碼，員工掃碼登錄后，便會(huì)打開(kāi)一個(gè)“釣魚”網(wǎng)頁(yè)。詐騙分子十分狡猾，手機(jī)上顯示的網(wǎng)頁(yè)大部分時(shí)候是看不到網(wǎng)址的，因此受害人很難發(fā)現(xiàn)已經(jīng)不是自己公司官網(wǎng)地址，隨后根據(jù)提示輸入銀行卡號(hào)、身份證號(hào)、手機(jī)號(hào)等關(guān)鍵信息。
此時(shí)，“釣魚”網(wǎng)頁(yè)背后的“黑客”已經(jīng)拿到了這個(gè)人的身份證號(hào)、手機(jī)號(hào)、銀行卡號(hào)，而攻擊者則會(huì)在另外一個(gè)地方消費(fèi)，并輸入受害者的手機(jī)號(hào)碼，將驗(yàn)證碼會(huì)發(fā)送至手機(jī)上。一旦受害者不注意，直接將驗(yàn)證碼提交填寫，那交易便成功了。
盡管手法很簡(jiǎn)單，但由于詐騙郵件是以公司為后綴的郵箱發(fā)出，從一開(kāi)始便騙過(guò)了受騙員工，因此迷惑性非常高。據(jù)奇安信聯(lián)合Coremail發(fā)布的《2020中國(guó)企業(yè)郵箱安全性研究報(bào)告》顯示，2020年，全國(guó)企業(yè)郵箱用戶共收到各類釣魚郵件約460.9億封，同比增長(zhǎng)達(dá)33.9%。與釣魚郵件數(shù)量同時(shí)增長(zhǎng)的還包括帶毒郵件（即郵件附件含有病毒等惡意軟件），數(shù)據(jù)顯示，2020年，全國(guó)企業(yè)級(jí)用戶共收到約492.1億封帶毒郵件，同比增長(zhǎng)了16.0%。
零信任確保實(shí)時(shí)安全
針對(duì)近期猖獗的郵件威脅，不同安全廠商都提出了相應(yīng)的解決方案。奇安信提出，政企機(jī)構(gòu)應(yīng)部署郵件安全系統(tǒng)，具備對(duì)惡意釣魚郵件實(shí)時(shí)檢測(cè)和告警的能力，及時(shí)捕獲惡意釣魚行為，攔截郵件系統(tǒng)中的病毒郵件，可有效避免或減少損失。騰訊安全則認(rèn)為，有條件的政府企業(yè)應(yīng)該部署零信任機(jī)制，或也可將其稱之為多重驗(yàn)證身份驗(yàn)證的機(jī)制。
據(jù)了解，奇安信網(wǎng)神郵件威脅檢測(cè)系統(tǒng)可以基于郵件行為檢測(cè)模型、機(jī)器學(xué)習(xí)模型，精準(zhǔn)發(fā)現(xiàn)各種類型的釣魚鏈接，諸如福利補(bǔ)貼、調(diào)查表填寫、系統(tǒng)升級(jí)、銀行通知、賬戶驗(yàn)證等等；其次，可以對(duì)郵件的鏈接地址進(jìn)行靜態(tài)判定，并對(duì)郵件附件進(jìn)行動(dòng)態(tài)沙箱檢測(cè)判定，高效識(shí)別郵件的惡意鏈接、惡意附件。其中值得一提的是，機(jī)器學(xué)習(xí)引擎基于云端數(shù)據(jù)可進(jìn)行自主訓(xùn)練，通過(guò)自適應(yīng)學(xué)習(xí)引擎、綜合檢測(cè)引擎及URL增強(qiáng)判定引擎進(jìn)行綜合檢測(cè)，在不同的企業(yè)環(huán)境下自適應(yīng)學(xué)習(xí)并準(zhǔn)確高效地檢出釣魚URL。
李鐵軍則更強(qiáng)調(diào)“零信任機(jī)制”，所謂“零信任”，是指系統(tǒng)對(duì)用戶處于“時(shí)時(shí)不信任狀態(tài)”，即便攻擊者拿到了受害者的用戶名和密碼，但在零信任機(jī)制的保護(hù)下，攻擊者登錄時(shí)也很容易被系統(tǒng)識(shí)別出漏洞，比如登陸地、登陸設(shè)備與以往不同，此時(shí)，系統(tǒng)會(huì)要求登錄者提供更多的驗(yàn)證手段，比如動(dòng)態(tài)口令、令牌、動(dòng)態(tài)密碼、手機(jī)密碼等等，增加登錄門檻。此外，即使登錄成功，當(dāng)攻擊者訪問(wèn)一些關(guān)鍵系統(tǒng)時(shí)，同樣可能被要求二次驗(yàn)證，門檻會(huì)再次提高。也就是說(shuō)，通過(guò)持續(xù)驗(yàn)證、動(dòng)態(tài)授權(quán)的方式，確保系統(tǒng)對(duì)登錄者的安全性時(shí)時(shí)保持警惕。
“最重要的，當(dāng)然還是要加強(qiáng)員工的安全教育與培訓(xùn)。企業(yè)要針對(duì)性地幫助員工提升安全意識(shí)，進(jìn)行各類實(shí)戰(zhàn)攻防演習(xí)等安全活動(dòng)，降低由于員工缺乏意識(shí)或無(wú)意之間的意識(shí)弱化導(dǎo)致的安全風(fēng)險(xiǎn)?！逼姘残判袠I(yè)安全研究中心主任裴智勇表示。