商业电子邮件欺诈（BEC）攻击超越勒索软件成为主要网络威胁

近年来，网络威胁格局发生了重大变化，商业电子邮件欺诈（BEC）攻击的突出程度超过了勒索软件。根据Cloudflare的《2023年网络钓鱼威胁报告》，2021年12月至2022年12月期间，与BEC相关的财务损失出现了令人担忧的17%激增。这一激增凸显了网络对手越来越倾向于将BEC作为首选攻击方法。

BEC日益增长的威胁

BEC是一种网络钓鱼形式，涉及攻击者冒充公司CEO、供应商或客户等实体，操纵受害者将资金转移到欺诈账户。虽然BEC已经存在多年，但包括人工智能（AI）在内的近期技术进步使这些攻击更具说服力和复杂性。

BEC攻击中一个令人担忧的发展是语音深度伪造的出现，使攻击者能够模仿CEO等受信任的人物。ChatGPT等生成式AI系统变得易于获取，进一步助长了BEC攻击的演变。

BEC攻击通常涉及攻击者更改付款细节或发起未经授权的交易，诱骗受害者将资金转移到攻击者的账户。英国毕马威（KPMG）的合作伙伴兼网络负责人Del Heppenstall报告称，企业因这些攻击损失了数百万美元。

CyberSmart的高级网络安全顾问Adam Pilton引用的一个例子突显了BEC攻击可能具有欺骗性的简单性。一家小型制造企业收到了一张看起来与以往发票完全相同但银行账户细节被更改的发票。接收者不知不觉地将资金转移给了冒充供应商的犯罪分子。

BEC攻击经常利用财务岗位的人员，使其特别难以检测。eSentire威胁响应部门的首席安全研究员Joe Stewart指出，BEC依赖于微妙的电子邮件操纵，而不是大规模网络钓鱼活动，这使得检测更加复杂。

BEC攻击的效率

BEC与其他网络威胁（如勒索软件）的区别在于其效率。一旦攻击者获得资金访问权限，他们可以迅速转移资金，而勒索软件攻击则需要额外的努力来勒索受害者。

虽然BEC已经存在多年，但其确切起源难以追踪。美国联邦调查局（FBI）于2013年开始追踪这些“商业电子邮件欺诈”，标志着其普遍性的显著上升。BEC攻击难以检测，因为它们依赖于冒充和社会工程，而不是恶意软件或恶意URL，这使得它们对标准网络安全防御来说难以捉摸。

AI在BEC攻击中的作用

AI，特别是像ChatGPT这样的工具，降低了进行复杂BEC攻击的门槛。威胁行为者，即使是英语能力有限的人，也可以利用类似ChatGPT的工具发起复杂的网络钓鱼活动。这些工具可以轻松生成声音和面部的深度伪造，使得区分欺诈性通信和真实通信变得越来越困难。攻击者还可以使用AI从LinkedIn等平台上收集个人信息，以制作模仿个人写作风格的令人信服的伪造电子邮件。

随着AI能力的不断进步，专家预计其将被用于创建伪造发票并对潜在目标进行侦察。此外，AI可能会自动化和规模化BEC攻击，使其更加强大。

企业可以采取多种措施来保护自己，降低遭受商业电子邮件入侵（BEC）攻击的风险。他们应仔细审查 incoming 电子邮件，查找电子邮件地址的细微变化以及发票上付款详情的差异。监控可疑的电子邮件重定向规则，并抵制迫在眉睫的付款压力，至关重要。

为了加强针对BEC攻击的防御，采用良好的密码实践、实施双因素认证（2FA）以及使用合适的网络安全工具至关重要。制定强大的政策并在整个组织中培养安全意识文化同样重要。

员工培训在打击BEC攻击方面发挥着重要作用。开展内部网络钓鱼意识测试，并确保使用经过验证的联系人严格验证电汇请求，可以增强组织的安全态势。定期审查邮件服务器配置、员工邮件设置和连接日志，有助于检测和防止BEC攻击。

此外，限制高管和公司信息的暴露可以减少网络犯罪分子基于AI的冒充尝试的有效性。通过最大限度地减少公开可用的数据，企业可以挫败攻击者收集信息用于欺诈目的的企图。