钓鱼邮件陷阱？退！退！退！

信息时期 陷阱时代 

Information Age Trap Age

2022年的今天，数字化改革浪潮席卷各行各业，以“大数据、云计算、人工智能”为代表的新一代数字技术蓬勃发展，催生了数字经济、数字孪生等一系列新的经济业态。伴随数字化改革浪潮，我们的日常生活从使用BB机发送信息到通过智能手机互联世界，智能化、数字化生活带来了无限便利，但与此同时，不法份子的诈骗手段也在“与时俱进”，从土里土气的传销组织，到高科技电信诈骗，手段可谓花样百出，令人防不胜防。

近半年来，一种以“工资补助、社保补贴”等新型诈骗陷阱层出不穷，并都以公司内部官方邮箱账号进行发布，多家企业员工都深受其害，据公开媒体报道，21年9月，江苏南京徐女士收到了一封主题为“工资补贴通知”的企业邮箱邮件，点开后按照流程扫描邮件内的二维码获得“补贴”，一番操作下来，徐女士银行卡直接被“洗劫”；22年年初，辽宁大连李先生收到来自公司人力部门的邮件，一样是主题类类似“本年度社保补贴开始发放”，由于接近领取时限，李先生未经深思熟虑立即执行，而后银行卡被消费5000元。近日，据电科技媒体公布，某互联网门户因钓鱼邮件导致员工工资卡内余额被盗。之后，有微博名为“XXcharles”用户发布信息称，因企业员工内部邮箱被盗，进而受到网络钓鱼攻击，并表示目前技术部门及时介入，损失较小。

电子邮件作为企业日常工作中极为重要的通信工具，往往意味着内部文件与正式决策，相当容易让员工放松警惕并获得信任。企业邮箱已成为近年来黑客攻击的重要目标，近年来这类攻击大多从盗取企业内部员工的邮箱账号密码开始，而后冒充公司管理部门（财务、法务、CEO等）群发邮件，让企业员工通过扫描二维码来访问对应的钓鱼页面，进而落入“圈套”。

 “得手率”如此之高的钓鱼邮件“与时俱进”的点就在于黑客攻击者使用企业可信邮箱来发送钓鱼邮件。

这类钓鱼邮件攻击带来的杀伤力也是显而易见的，一旦中招，轻则身份信息账号密码等被盗用读取，重则自有资产和朋友资产被诈骗干净。每一步都可能产生严重的后果损失。

据《2020中国企业邮箱安全性研究报告》统计，越来越多的带毒邮件正在被发送给企业邮箱，2020年企业级用户收到的带毒邮件量约占用户收发邮件总量的7.4%，平均每天约有1.3亿封带毒邮件被发出和接收。企业邮箱安全问题不容小觑。

屡试不爽的钓鱼邮件诈骗方式并非孤例，对于各行各业企业来说，这不仅仅是安全防范意识缺失的问题，更深层面的是需要看到企业iT运维背后的系统安全问题。

企业之所以面临着频繁的网络钓鱼风险，是因为大部分企业员工安全意识淡薄，以及企业IT运维系统的暴露面较广，容易遭受各式各样的网络攻击。那么对于企业和员工而言，应当如何防范类似的风险威胁？其实，针对当前的互联网钓鱼邮件的攻击，可以布局零信任系统来解决。亿格云科技解决方案架构师包老师对此提出以下几点解决方案： 

一、基于零信任架构的一体化安全解决方案

（1）将企业邮箱通过 零信任机制 进行访问，确保只有合法身份、可信终端的条件下才可访问企业邮箱，这一举措能有效防止黑客访问企业员工邮箱。

（2）将企业被迫暴露在互联网上的内网应用进行 隐身收敛，实现对常见钓鱼攻击前期扫描阶段的免疫。

（3）以“身份” 为核心，将权限的授予和回收与身份生命周期自动关联，杜绝权限滥用以及回收不及时现象。

（4）开启 主动检测设备 的安全能力，在公司员工进入内网前，快速发现和处理恶意文件，确保终端入网前的安全。

（5）可通过 隐身和隔离 技术限制风险的传播，持续检测终端和人员的异常行为，触发多因子认证，封锁恶意传播。

二、保持警惕，提高安全意识

员工具备日常的安全防范意识是关键。通过培训讲座等方式，提高员工网络安全意识，指导员工识别未经身份验证的电子邮件，防范于未然。无论邮件来自于内部还是外部邮箱，都必须仔细核实发件人的真实身份与行为请求。不轻易相信和点击邮件发布的异常内容和链接，有任何疑点，应立即与公司IT部门联系沟通确认。

此外，企业应定期举办钓鱼实战攻防演习、制定规范的日常上网管理规范，扼杀不良的浏览互联网行为，并定期开启强制弱口令检测，强制定期修改密码，最大限度地降低邮箱盗号等风险。