最近，硅谷顶级风险投资公司红杉资本的钓鱼电子邮件攻击再次给企业界敲响了 *** 安全警钟。红杉资本表示，投资者的个人信息和财务信息可能已被第三方窃取。
声誉是金融机构生存的生命线。除了直接的经济损失外， *** 安全事件无疑会影响客户和公众对金融机构的信心。不幸的是，金融机构拥有的巨大财富、高价值信息和社会资源是黑客最渴望捕获的“猎物”。摩根大通CEO杰米·戴蒙(Jamie Dimon)在股东信中，毁灭性的 *** 攻击可能是美国金融体系面临的更大风险，该银行每年在 *** 安全方面投资近6亿美元。
随着工业数字化进程的加快， *** 攻击将给企业带来越来越致命的威胁，红杉事件已成为最新、最真实的脚注。腾讯安全技术专家认为，在当前环境下， *** 安全的概念已经不合适，企业领导者迫切需要建立“安全左移”积极规划和前瞻性防御，构建全面的企业安全免疫系统。
钓鱼邮件“攻陷”顶级VC
据外电报道，今年2月，外部黑客攻击了一名红杉员工，从而获得了投资者的邮件地址。随后，攻击者根据获得的邮件地址将红杉员工发送给投资者BEC(商业欺诈邮件)可能已经访问了投资者的个人信息和财务信息。
黑客这次用的BEC攻击的本质是通过高度模仿员工或合作伙伴的恶意账户向他人发送个性化的电子邮件。这些有针对性的个性化电子邮件非常混乱，很容易诱导客户和合作伙伴泄露敏感信息或转账，导致信息泄露，甚至财务损失。
腾讯安全技术专家表示，BEC攻击是 *** 攻击中最常用的技术，更多的高风险漏洞被用于技术手段。黑客通常会仔细选择攻击目标，如可靠的业务合作伙伴或公司CEO，因此，成功率非常高。美国联邦调查局发布的年度互联网犯罪报告指出，近一半的损失来自于2019年收到的467361起互联网和 *** 犯罪投诉BEC(商业欺诈邮件)。FBI数据还显示，2019年BEC受害者损失达到17.7平均每宗投诉损失7.5万美元。
我国也是遭受BEC攻击高发地。国家互联网应急中心(CNCERT)根据公布的数据，2019年CNCERT监测到重要党政机关遭受钓鱼邮件攻击50多万次，月均4.6万封。另一项统计显示，2019年，全国企业邮箱用户收到各种钓鱼邮件344.3与2018年相比，亿封增长68.5%。
使用恶意代码携带漏洞 Office 文档是钓鱼邮件的主要载荷。去年，腾讯安全威胁情报中心检测到了PPT文件是诱饵钓鱼邮件攻击。分析发现，附件在黑产组织发送的钓鱼邮件中PPT文档包含恶意宏代码，用户一旦打开就会启动恶意程序下载Azorult偷密木马，造成账号密码丢失、信息泄露等严重后果。
钓鱼邮件给企业造成了巨大的损失。世界上更大的白名单提供商Return Path报告称，为了恢复 *** 钓鱼攻击的影响，每家大企业平均每年花费370万美元，包括生产力损失、消费者服务损失和监管罚款。
这只是钓鱼攻击造成的直接损失。上述报告还显示，消费者在受到电子邮件 *** 钓鱼攻击后，不再信任品牌和品牌Gmail阅读率下降18%，Yahoo下降11%。电子邮件服务提供商也将该品牌的合法邮件归类为垃圾邮件，Gmail电子邮件打开率平均下降10%，Yahoo下降7%。
迫切需要数字时代“安全左移”
频繁的 *** 安全案例给企业的信息安全建设敲响了警钟。随着我国全面走向大数据时代，企业对通信技术和计算机应用的依赖性不断增强。一旦发生 *** 安全事故，企业的资产、业务和声誉将遭受巨大损失，甚至动摇其生存基础。那么，企业如何在享受信息技术红利的同时，抵御越来越致命的 *** 安全风险呢？
最重要的是“安全左移”。 腾讯安全技术专家认为，要以 *** 安全建设为重点，在生产过程中把安全建设放在之一位。同时，借助AI大数据技术，提前发现和处理异常，降低高风险环节的权限，主动控制重要数字资产的风险暴露时间窗口，尽量减少攻击面。
相比“应对”威胁，“提前感知”威胁显然是提高安全保护效率和降低安全风险的最经济的方式。因此，威胁情报的安全投资对企业占据攻防机遇至关重要，也是企业在安全左移趋势下做好安全前沿的有效途径。以腾讯威胁情报系统为例，该系统可以为企业提供全面、准确的知识和信息，帮助企业防止各种 *** 入侵，实现“未攻先防”，尽量避免潜在损失。
另一方面，以“持续验证，永不信任”核心零信任是企业在远程业务规范化过程中进行安全建设的高性价比价值点，无论是安全高配置还是降低成本和提高效率。即使企业存在被陷害的风险，在多维身份认证、最小权限动态访问控制、可变信任管理等战略的保护下，iOA客户端保护方案还可以为企业资源的访问提供持续的安全保护。
在红杉钓鱼邮件攻击中，如果能提前建立多层次的防御系统，各级安全产品可以通过威胁情报系统和安全操作系统有机集成，有助于更大限度地降低黑客入侵风险，减少潜在损失。
若转载，请注明原文地址。