BEC诈骗横行，企业员工如何防钓鱼？
分类：推荐文章 ·
发布：2025-12-20 ·
浏览：1
昨天看到安全新闻说：明晨4点发起全面攻击？国内外多家大型企业收到“黑客恐吓信”，害得我一夜无眠，索性目前还没有得到确切有被攻击打信息，虚惊一场。勒索软件攻击可能是企业和机构面临的最新威胁，但其实它只能算企业和机构必须警惕的威胁之一，另一个更为突出的应该就非商业电邮诈骗（BEC）莫属了。从字面上看，BEC还真不容易理解，到Google搜一下，首先看到的竟然是FBI的定义。引用FBI给的图，基本就能明白BEC诈骗的意思了。它是一种具有高度针对性的鱼叉式钓鱼，通过冒充决策者的邮件，来下达与资金、利益相关的指令，其目标并不只是窃取个人信息，而是直接窃取资金。一般情况下，受害者是这样遭受BEC诈骗的：收到一封包含钓鱼链接的电子邮件，点击链接后，会下载运行恶意软件。恶意软件会自动收集受害者的密码和财务账号信息等。类型2：高管的email被盗用，像财务部门发送资金申请的邮件；类型3：员工email被盗用，向所有联系人发送付款要求；类型4：诈骗者冒充律师来处理机密或时间紧急的事件，或资金转移。这种形式会给受害者带来心里压力，通常发生在工作日快结束时，或财务机构快关门时。BEC攻击者可以针对任何人发起攻击，尤其偏好那些存在国际商业合作的企业，因为他们经常需要进行电汇付款，且往往款项数额庞大。攻击者的目标主要集中在美国、英国以及澳大利亚等国家，但是偶尔也会针对其他国家发起攻击（如比利时Crelan银行和奥地利飞机 零件制造商 FACC 等）。符合上述条件的企业应该尽早的教育自己公司的员工，尤其是公司的财务人员，如何正确地防范此类安全威胁，避免不必要的损失。因为在超过40%的商业电邮诈骗案中，都是针对目标企业的首席财务官发送钓鱼邮件并诱导其进行资产转移。财务总监以及财务控制人员 等也在钓鱼攻击之列：BEC诈骗变化趋势显示：今年早些时候BEC诈骗数量呈飙升趋势；攻击者开始关注员工的工资单信息；安全意识培训公司KnowBe4的新任首席财务官通过确定什么是所谓的BEC钓鱼邮件，成功挫败了此类攻击。钓鱼邮件中的请求，看起来像是公司的CEO发送的。此类钓鱼邮件首先传递给公司的财务控制人员，但是事实上该财务人员并不具备访问工资信息的权限，随后该人员将请求邮件转发给公司的首席财务官。趋势科技的研究人员表示，员工们应该格外警惕这些看似由公司CEO，总裁或总经理发送的，要求进行紧急电汇的电子邮件。这些电子邮件的主题通常是较为简单和模糊不清的，多数只有一个词组成，例如 “Transfer(转发)” “Request（请求）” “Urgent（紧急）” 等。这些邮件可以由真正的公司CEO的电子邮件账号发出，而这个过程需要键盘记录程序或后门程序的帮忙，或只是将其伪造成CEO的电子邮箱账号的样子。BEC诈骗者通常利用大量的可用工具来准备和实施攻击活动：建立入侵检测系统，标记那些长得和自己公司邮件很相似的邮件（abc_company.com 和 abc-company.com）；涉及到资金交易时，多方面校验：电话，或多封邮件确认；了解客户的习惯，包括所需资金的总数，以及每笔转账背后的原因；仔细检查每一个关于转账的email，特别是那些不按常理出牌的；
