“BEC攻擊無需高深的技術手段，用低風險就能換取高回報。”這個說法乍一聽，似乎是個不賠本的買賣，但實則非也。

近年來，商業郵件欺詐（Business Email Compromise，以下簡稱：BEC）攻擊的身影頻頻出現在各個安全期刊的頭版頭條，已然成為了一種常見的網絡攻擊手法。

BEC是一種比較先進的社會工程學攻擊，主要針對企業極其員工，通常以財務欺詐和商業機密竊取為動機。從技術層面來講，商業郵件欺詐是一種相對技術含量較低的金融欺詐，

這類型攻擊非常容易實施，并且不依賴于惡意文件或鏈接，而是通過社會工程學進行欺騙誘導。BEC攻擊的一個經典形式是通過偽造電子郵件與目標員工建立聯系，將電子郵件偽裝成來自可信的人或組織。一旦建立信任，攻擊者可能會直接要求受害者匯款或要求回復敏感信息。

為避免郵件審查和增強欺騙性，BEC攻擊者還會將受害者引導至短信或即時通訊工具。比如，“誘導財務人員加群”，攻擊者將電子郵件偽造成銀行官方郵箱，向企業財務人員批量投遞“無害”的誘導加qq郵件，一旦受害者加上qq，就會被拉到一個有“領導”的詐騙群，然后由攻擊者扮演的“領導”會命令“受害者”進行后續的轉賬匯款。

諸如此類的BEC攻擊形式日趨復雜，防不勝防。

根據近日Fortra最新發布的《2023年BEC趨勢、目標和技術變化報告》，商業電子郵件欺詐( BEC)攻擊正闖下歷史最高水平。2023年，冒充企業的惡意電子郵件數量增速驚人，僅在前兩個月就發生了 4 萬多起攻擊事件，其中BEC攻擊占已報告威脅的99%。

從“傀儡”郵箱到AI虛假郵件，BEC攻擊正飛速進化

據微軟的統計數據顯示，自2016年以來，BEC攻擊已經導致超過260億美元的損失。這種類型的攻擊已經波及了各種規模的企業，從大公司到小企業都成為了攻擊的受害者，且這些年BEC 攻擊日趨復雜，網絡犯罪分子不僅在增加攻擊數量，而且在偽造和仿冒郵件方面變得更加老練和自動化，BEC詐騙攻擊在流行性和創新性方面都得到了“飛躍式”的發展。BEC攻擊的發展路徑，可以大致劃分為四個階段，下面我們分別來看看：

首先是BEC 1.0 階段，興起于疫情期間，犯罪分子企圖利用新的分布式工作環境興風作浪。相比傳統辦公環境，遠程辦公員工更容易遭到網絡釣魚攻擊，而遠程辦公模式也創造了更多冒充機會。在這個階段，電子郵件發件人往往會偽裝成同事、合作機構或知名品牌，或者冒充企業管理者，指示員工為廠商購買禮品卡。這些電子郵件大多都是純文本，這就需要用戶具有敏銳的洞察力或借助先進的人工智能 (AI) 和機器學習才能識破。BEC 1.0 涉及的詐騙攻擊方式時至今日依然存在，但隨著最終用戶的安全意識不斷提高，以及更多電子郵件安全層經過優化已能夠檢測出和阻止這些攻擊，此類攻擊的效果日益減弱。

接著就是BEC 2.0 階段，受害者所接收到的電子郵件來自被入侵的合法帳戶。這些帳戶可能是同一公司內的帳戶或是遭到入侵的合作伙伴帳戶，黑客會假扮成業務代表實施報銷詐騙，或竊取員工信息及其他敏感數據。通常情況下，攻擊者會從合作伙伴的現有郵件中尋找線索實施詐騙，或者先潛伏在合法對話中，等時機合適再劫持對話實施詐騙。

BEC 攻擊3.0 階段，黑客開始從QuickBooks、Zoom或SharePoint等合法 SaaS 服務和網站發送真實通知。從表面上看，這些信息并無非法或可疑之處，因為它們是直接從相關網站發送的，黑客甚至可以使用與受攻擊機構相同或相似的名稱來讓偽裝看起來天衣無縫。為了實施攻擊，他們會在報銷材料或支付信息中添加一個電話號碼，但這個虛假的電話號碼連接的其實是一個虛假的支持團隊，極易上當受騙。僅在去年2月前，Check Point Research 就已經檢測到了近 4 萬起此類攻擊。

整體來看，過去的傳統BEC詐騙方式往往是攻擊者會冒充企業的首席執行官或高級管理人員來欺騙受害者促成重大金融交易。但目前，攻擊者已經開始改變策略并擴大了他們的攻擊目標列表。他們將與目標受害者相關的供應商、以及第三方或業務合作伙伴等等均同等視為攻擊目標。網絡犯罪分子通過包含關鍵內幕信息的真實電子郵件來針對性攻擊大型企業，從而顯著提高攻擊的“合法性”和成功率。

隨著現在AI的應用領域越來越廣泛，網絡犯罪分子已經開始利用AI來制作精心編寫、無語法錯誤的電子郵件，這些電子郵件會進一步提高受害者受騙上當的概率，這也就是目前BEC攻擊最先進的4.0版本。

此前黑客就曾創建了備受關注的WormGPT，WormGPT 在地下論壇上被宣傳為執行復雜的網絡釣魚活動和BEC攻擊的完美工具。惡意行為者正在創建自己的自定義模塊，并且還在向其他人宣傳。根據作者介紹，WormGPT 是基于 GPTJ 語言模型的 AI 模塊，接受了各種數據源的培訓，它現在擁有一系列功能，包括無限字符支持、聊天記憶保留和代碼格式化功能。

利用WormGPT生成的BEC郵件

WormGPT的出現無疑標志著BEC攻擊進入了4.0階段，它賦予了網絡犯罪分子在幾秒鐘內通過輸入提示生成大規模詐騙電子郵件的能力，這給企業網絡安全帶來了前所未有的挑戰。由于詐騙電子郵件的規模和多樣性將達到前所未有的水平，因此企業必須應對這一新的威脅。

BEC攻擊俗套的“手法”，為何頻頻讓企業中招

BEC攻擊戰術的不斷升級為企業帶來了巨大的安全風險，而近年來因BEC攻擊造成巨大經濟損失的企業也不在少數。

去年6月，微軟通報了一起復雜的BEC攻擊，針對銀行和金融服務組織。這次攻擊活動利用了網絡上的釣魚工具包，使用了高級的中間人代理技術，繞過了雙因素認證（2FA）。根據我們對攻擊趨勢的年度跟蹤，早在2021年，網絡上已經涌現了多個網絡釣魚即服務和網絡釣魚工具包，這顯然降低了犯罪成本，使網絡釣魚活動趨向高度自動化。

在這起攻擊活動中，攻擊者首先接管了一個受信任的供應商的郵箱登錄會話，然后使用新的會話令牌登錄。攻擊者打算利用供應商與其他合作伙伴組織之間的信任關系進行金融欺詐。一旦攻擊者獲得了郵箱權限，他們創建了一個收件箱規則，將所有傳入電子郵件移動到存檔文件夾，并將其標記為已讀。然后，攻擊者發起了大規模的網絡釣魚活動，涉及了16,000多封電子郵件。攻擊者隨后監視了受害者用戶郵箱中未送達和已發送的電子郵件，并將其從存檔文件夾中刪除，使受害者對郵箱賬戶遭受入侵毫不知情。

從AiTM網絡釣魚攻擊到BEC的攻擊鏈

無獨有偶，此前家居行業上市公司大亞圣象在其年報中披露，有攻擊者入侵了全資子公司美國HomeLegendLLC公司租用的微軟公司365郵箱系統，偽造假電子郵件冒充該公司管理層成員，偽造供應商文件及郵件路徑，實施詐騙，涉案金額約356.9萬美元，折合人民幣2275.49萬元。

此外，還有多家擬上市公司披露的招股書顯示，他們也曾遭遇過類似的詐騙。一家已經終止IPO的公司公告顯示，該公司也曾遭遇BEC詐騙。此次事件就是一次經典的BEC攻擊案例，攻擊者通過“誘導財務人員加入QQ群”，將電子郵件偽造成銀行官方郵箱，向企業財務人員批量投遞“無害”的誘導信息，財務人員添加對方QQ后，被拉入了一個有“領導”的詐騙群，然后由攻擊者扮演的“領導”命令“受害者”進行后續的轉賬匯款。此次事件導致公司銀行賬戶內的300萬元被盜取，隨后公司向所在地公安機關報案并獲受理。后續公安局針對300萬元詐騙款追回24萬元，款項返還至公司。

按理來說，BEC攻擊在原理上其實并不新鮮，并且這類社會工程郵件的騙局甚至已經流行了30多年。但是，BEC攻擊為何能讓不法分子屢屢得手？

事實上還是因為這些攻擊是來自于受害者所信任的虛假對象，一旦攻擊者鎖定目標組織，他們會采用身份竊取等技術手段，盜用受害者相關同事的電子郵件帳戶，使用真實可信的郵箱來發送欺詐郵件。且信件內容甚至是口吻都經過深度的偽造，這才導致安全防范意識不強的受害者難以識別真假。另外，攻擊者還會設置郵件轉發規則，對關鍵人員與合作伙伴與供應商的往來郵件進行監視，伺機對涉及金融交易的郵件進行篡改，通過修改銀行賬號信息來誘導目標受害者完成轉賬。

總體來看，BEC攻擊之所以難以防范，正是因為這種攻擊側重于社交工程，不涉及明顯的惡意軟件或外部鏈接，因而能輕易避開大多數傳統的安全防護技術，讓傳統的郵件安全解決方案難以識別。這也給企業網絡安全帶來了前所未有的挑戰。

企業防范BEC攻擊的八種有效方法

BEC攻擊戰術的不斷升級為企業帶來了巨大的安全風險，近年來因BEC攻擊造成巨大經濟損失的企業也不在少數。因此，為了降低BEC攻擊風險，企業需要實施多層威脅情報、人員導向的業務和技術政策，并制定全面的BEC政策文檔。同時，定期開展安全意識培訓、禁止共享企業結構圖等規則、帶外驗證流程、請求登記流程和開放式匯報機制、設定獎勵制度激勵員工積極參與防御等措施也十分重要。

企業可以重點關注以下八種BEC攻擊關鍵防范方法：

1.設定可接受的使用規則

企業在業務和技術層面設置的首要規則類別是員工訪問電子郵件和其他業務系統時的可接受使用標準，以阻止BEC攻擊。可接受使用政策 (AUP) 是提供基于政策的BEC風險保護的最低要求。AUP包括常規的安全最佳實踐，并應特別關注網絡釣魚和BEC防范指南，后者的內容包括：不得點擊可疑文件附件或鏈接、不向第三方泄露敏感信息、仔細檢查發票支付和工資單變更請求以及報告可疑攻擊等。

2.定期開展安全意識培訓

與AUP一樣，安全意識培訓對于企業防范BEC攻擊安全風險至關重要，應規定員工在企業工作期間定期參加安全培訓。安全意識培訓不僅提供了寶貴的安全威脅提醒和如何識別不同階段的BEC攻擊的強化教學內容，還可以提供一個重要的學習場所，讓員工了解這些攻擊技術自上次培訓以來發生了哪些變化。

3.強制性BEC特定事件響應計劃

企業在事件響應(IR)計劃中應設定包含針對BEC的程序，同時制定政策要求安全團隊定期更新這些IR計劃并測試其效果。企業在事件響應的所有階段計劃都有法律專家參與，法律部門尤其應該參與內部和外部利益相關方溝通事件，以確保企業在BEC攻擊發生時不會增加其法律責任。任何違規都可能帶來法律責任，因此最好在違規之前進行討論，并盡可能多地提前制定預案。此外，泄露或暴露的有關商業伙伴、客戶、人員等的信息，包括機密信息，可能產生法律后果，這也應該在制定IRP和實際應對實際違規行為時加以考慮。

4.調整企業結構圖及運營細節披露程度

由于BEC詐騙者通常會利用對組織內部運作的了解來針對特定員工進行帳戶接管攻擊，向受害者提出可信的請求，或者設計出非常令人信服的社會工程方法。所以企業可適當調整企業官網組織結構圖及其他詳細信息的披露程度以避免企業管理者的個人信息落入黑客手中。

5.發票和財務交易協議

對于企業來說，建立一個堅不可摧的業務標準和流程來處理發票和觸發財務交易也十分重要。這意味著將縱深防御應用于整個企業的業務實踐，而不僅僅是網絡安全。任何臨時付款請求都必須在付款發出之前進行正式審查。要求所有付款指令更改在批準之前使用合法途徑進行驗證。此類強力政策可以消除攻擊者對員工實施社工攻擊施加的緊迫感和恐懼感，尤其是攻擊者冒充高管或上司提出異常請求時，這樣強制執行的政策能夠保護嚴格按規章辦事的員工。

6.高風險變更和交易的帶外驗證

對于發票和財務交易政策，企業應特別注意如何驗證和批準高風險交易和財務賬戶變更。實施嚴格的財務交易和數據請求驗證流程至關重要，這是抵御BEC攻擊的關鍵防御措施。企業為BEC設置后盾的一個重要方法是確保通過電子郵件觸發的任何高風險事件都通過某種帶外驗證流程（可以是電話、通過安全系統或短信）進行跟進，切勿僅根據電子郵件請求更改付款/銀行詳細信息就進行交易。將這些流程嵌入到日常運營中可以形成強大的防御機制。

7.請求登記流程

由于來自外部欺騙電子郵件和內部受損電子郵件來源的雙重威脅，企業想要預防BEC需要采取廣泛的策略。企業可對所有敏感信息交換和變更采用輔助方法進行積極驗證，包括收款人、銀行信息、應收賬款和員工數據。該機制包括一個內部安全的“請求寄存器”，可確保在任何信息交換或修改之前進行積極驗證。通過這一政策和方法，每個敏感請求都會在集中式系統中注冊，然后通過第二個因素獲得批準，無論是電話、一次性密碼 (OTP) 還是硬件安全密鑰（例如FIDO2）。用戶經過培訓，可以在泄露信息或進行更改之前通過此寄存器驗證敏感請求。

8.開放式匯報機制

企業制定政策、文化和流程時需側重開放式匯報機制，讓員工能夠輕松報告異常請求事件，即使判斷錯誤也無需擔心懲罰。重要的是要確保員工不怕報告可疑事件。報告得越早，就越容易解決，但害怕的員工可能不愿意承認錯誤。企業需要建立報告可疑事件的文檔步驟和機制，并嘗試獎勵阻止錯誤而不是懲罰錯誤。這將有助于培養員工的防御思維和零信任心態。