教育和意識是第一步
僅一封看似無辜且惡意的電子郵件就可能使企業損失數百萬美元並破壞業務連續性。再加上電子郵件攻擊的複雜性和使用的細緻的社會工程技術，我們就有一個可能的網絡災難的秘訣。 因此，除了部署最好的電子郵件安全解決方案外，組織還應該教育其員工有關電子郵件計劃，以創建最後一個防禦線，以防止這些攻擊。
常見的社會工程技術及它們如何利用人性
社會工程師知道人類如何工作和思考，並非常樂意利用這些知識。 社會工程師可以使用多種不同的策略來讓他們的目標做他們想要的事情：
- 權限的使用：組織是構建為階層，頂層的人員負責。 社會工程師可能模仿有權威的人，並命令他們的目標採取一些行動。
- 打開魅力：人們更有可能為他們喜歡的人做事情。 社會工程師可能會試圖利用他們的魅力來影響某人做他們想做他們想要的事情。
- 給與接：社會工程師可以免費給他們的目標的小東西。 然後，他們將利用義務感來獲得他們想要的東西。
- 尋求認可：人們更有可能在公開支持該人或事業後做某人要求的事情。 社會工程師可能會向受害者尋求公開認可，然後要求一些東西。
- 做受歡迎的事情：人們喜歡受歡迎。 社會工程師會讓它看起來像「每個人都在做」他們試圖欺騙目標做的事情。
- 供應短缺：社會工程師可能會使他們提供的東西看起來稀缺或像是一個有限時交易。 這使人們可能會急速接受它（例如 COVID-19 期間的衛生紙）。
網路犯罪分子將使用所有這些策略來存取組織的網路和敏感資訊。在 COVID-19 大流行期間和之後，由於許多員工在家工作，公司比以前更容易受到網路釣魚攻擊。
網路釣魚攻擊的類型
簡而言之，網路釣魚攻擊是透過電子郵件或其他通訊平台執行的社會工程攻擊。這些攻擊旨在讓使用者點擊鏈接，下載附件，共享敏感數據或採取其他損害行動。
網路釣魚攻擊可以有多種不同的形式。一些常見的例子包括：
- 帳戶問題：一種常見的網路釣魚策略是告訴某人他們的線上帳戶（Amazon、Netflix、PayPal 等）有問題。當攻擊者急速單擊鏈接並修復問題時，攻擊者會收集他們的登錄憑據。
- 商業電子郵件詐騙 (BEC) ： BEC 攻擊是使用權限的典型範例。攻擊者會模仿組織內重要的人（CEO、管理層等），並指示目標採取有害行動，例如將資金發送到攻擊者控制的帳戶。
- 假發票：攻擊者可以偽裝為供應商，尋求為未償還發票付款的供應商。 這種詐騙的目的要么是讓受害者向攻擊者匯款，要么是讓他們下載並打開包含惡意軟體的附件。
- 共享雲端文件：網路犯罪分子經常利用基於雲端的文件共享來繞過Office 365 安全性和其他內建安全解決方案。通常這些工具會驗證連結是否合法，但不會檢查共用文件是否不包含惡意內容。 或者，攻擊者可以假裝正在共享文件並顯示一個頁面，該頁面要求受害者輸入其登入憑證，然後將其傳送給攻擊者。
這些電子郵件中的許多都設計的外觀就像合法的電子郵件。 在信任之前，先花一點時間驗證電子郵件很重要。
在惡意電子郵件中尋找什麼
顯然，網路釣魚電子郵件的設計看起來盡可能可信，以最大限度地提高欺騙受害者的可能性。但是，有一些警告跡象表明存在惡意電子郵件：
- 寄件者地址：網絡釣魚者通常會在攻擊中使用看起來像受信任或合法的電子郵件地址。 請務必檢查發件人的地址是否有錯誤，但請記住，攻擊者可能已入侵真實帳戶並使用該帳戶進行攻擊。
- 問候：大多數公司通過以姓名將電子郵件發送給收件人來個性化他們的電子郵件，但是假冒者可能不知道特定電子郵件地址的名稱。 如果稱呼過於籠統（例如「尊敬的客戶」），則可能是網路釣魚電子郵件。
- 語氣和語法：通常，網路釣魚電子郵件聽起來不太正確，並且會包含拼字和文法問題。如果電子郵件對發件人來說似乎不是品牌，那麼它可能是惡意的。
- 不匹配的連結：您可以將滑鼠懸停在電腦上電子郵件中檢查連結的目標。 如果鏈接不到應該地方，則該電子郵件可能是惡意的。
- 奇怪的附件類型：網路釣魚電子郵件經常被用來傳播惡意軟體。如果您收到的「發票」是 ZIP 文件、可執行檔或其他不尋常的文件，那麼它可能是惡意軟體。
- 推動：網路釣魚電子郵件的目的是讓受害者做某事。如果電子郵件引起緊急感或推動特定行動，那麼它可能是惡意的。
電子郵件安全意識的重要性
電子郵件安全意識對於保護組織免受電子郵件攻擊而言至關重要。 培訓員工識別網路釣魚電子郵件的跡象（尤其是當前流行的藉口和技術）有助於降低他們點擊惡意連結或開啟附件的可能性。
教導員工向組織的 IT 或安全團隊報告可疑的網路釣魚電子郵件也很有好處。這使他們能夠調查並在某些其他員工陷入虛假的情況下進行調查和回應。
然而，即使採用最好的培訓計劃，網路釣魚電子郵件偶爾也會成功，在許多情況下，電子郵件解決方案中內建的雲端電子郵件安全功能將無法捕獲攻擊。投資專門的電子郵件安全解決方案是防止這些惡意電子郵件到達使用者的好選擇。
反映意見