应对电子邮件威胁的三大措施

根据Area 1 Security发布的研究报告，网络钓鱼电子邮件和BEC商业电子邮件欺诈正在给企业带来高昂损失。报告还指出，安全意识培训固然重要，但由于误报率居高不下，仍然需要采取“人+技术+流程”多管齐下的安全措施来保障云电子邮件的安全。

报告指出，防止攻击的一个关键方面是深入了解网络行为者模式，并持续监控和分析其活动以预测未来的攻击。网络钓鱼是一种有利可图的商业模式，大多数网络安全事件都始于网络钓鱼电子邮件。来自受信任的供应商或内部部门的看似无害的电子邮件可能会导致公司范围内的业务中断、关键数据丢失以及数百万的财务成本。

从勒索软件、凭据收集器到难以发现但代价高昂的商业电子邮件入侵 ( BEC ) 等威胁，如果成功，可能会给大型企业造成超过 3.54 亿美元的直接损失。

报告的主要发现：

• 近 9% 的攻击使用了身份欺骗策略，例如欺骗、域模拟和显示名称模拟。其他顶级策略包括凭据收集器 (9.33%)、受损链接 (8.96%) 和附件 (3.31%)
• 仅 10 个品牌就占了所有欺诈性网络钓鱼邮件攻击的 56% 以上，世界卫生组织(WHO)、谷歌和微软位居前三名。
• 在某些情况下，这些欺骗性电子邮件暗藏BEC 攻击，尽管数量很少（占威胁的 1.3%），但却导致来最严重的经济损失。平均而言，BEC 损失为 150 万美元，中位数为 26 万美元
• 尽管组织试图通过最终用户培训来消除风险，但超过 92% 的用户报告的钓鱼邮件其实是良性垃圾邮件或群发邮件，这导致IT 团队充斥着数以千计的误报。

虽然员工对“钓鱼邮件”的报告是善意的，但真正的危险往往会悄悄溜过过时的防御系统。例如，电子邮件身份验证（DMARC、SPF、DKIM）和传统邮件安全防御系统错过了超过 50 万个威胁，这可能会在没有拦截的情况下造成价值数百万美元的业务中断和经济损失。

报告指出：“网络钓鱼活动仍然是对公司发动战争、盗窃知识产权以及导致大量财务和数据丢失的有力工具。”

“我们的研究发现，安全意识培训仅从教育角度来看是有益的，但并不能有效阻止威胁。大约 92% 的用户报告的网络钓鱼不是恶意的，实际上是良性的垃圾邮件或群发邮件，这通常会延迟 IT 团队发现和阻止实际威胁。唯一的解决方案是先发制人的、基于云的电子邮件安全解决方案，可以防止网络钓鱼攻击收件箱。”

有效防御云电子邮件威胁的三大措施

锁定身份：通过添加多因素身份验证 ( MFA )等额外保护来保护帐户和身份。切勿重复使用密码并始终更改默认密码。

建立针对金融欺诈的协议和流程：建立和培训应对BEC的预案和流程，以防止 BEC 和金融欺诈带来财务损失，例如要求多个审批者或“带外”供应商验证才能将资金转移到新账户。此外，还需要辅以对应的安全意识培训，以防陷入网络钓鱼。

对电子邮件采取零信任安全方法：必须验证电子邮件中发生的所有通信。通过评估发件人以外的消息的有效性来消除隐含的信任风险，以降低来自被入侵但合作伙伴的风险。选择一个安全系统，可以检测入侵并控制来自入侵组织的通信，将零信任方法扩展到电子邮件安全。