近日，硅谷顶级风投公司红杉资本遭遇的钓鱼邮件攻击再次敲响了警钟。企业界网络安全警报。红杉资本表示，投资者的个人和财务信息可能在最近针对该公司的网络钓鱼攻击中被第三方窃取。信誉是金融机构的命脉。除了直接的经济损失，网络安全事件无疑会影响客户和公众对金融机构的信心。不幸的是，金融机构掌握的巨额财富、高价值信息和社会资源，恰恰是黑客最渴望捕捉的“猎物”。摩根大通首席执行官杰米戴蒙在致股东信中表示，毁灭性的网络攻击可能是美国金融体系面临的最大风险，该行每年在网络安全上的支出接近6亿美元。随着工业数字化进程的加快，网络攻击将给企业带来越来越多的致命威胁。红杉事件成为这一威胁最新最真实的注脚。腾讯安全技术专家认为，在当前环境下，网络安全的概念已经过时。企业一把手迫切需要树立“安全向左移”的理念，做好前瞻性谋划和前瞻性防御，构建全方位的企业安全免疫体系。钓鱼邮件“俘虏”顶级VC据外电报道，今年2月，一名外部黑客对一名红杉员工进行了电子邮件钓鱼攻击，从而获取了投资人的邮箱地址。随后，攻击者根据获取的邮箱地址，冒充红杉员工向投资者发送BEC（BusinessFraudEmail），并可能获取了投资者的个人信息和财务信息。此次黑客使用的BEC攻击的本质原理是通过高度模仿企业员工或合作伙伴的恶意账号，向他人发送个性化邮件。这些有针对性的个性化邮件非常混乱，很容易诱使客户和合作伙伴泄露敏感信息或转移资金，导致信息泄露，甚至造成财务损失。腾讯安全技术专家表示，BEC攻击是网络攻击中最常用的手段，更多的技术手段是利用高危漏洞实现的。黑客通常会谨慎选择目标，例如可信赖的商业伙伴或公司的首席执行官，因此成功率非常高。FBI发布的年度互联网犯罪报告指出，在2019年收到的467,361起互联网和网络犯罪投诉中，几乎一半的损失来自BEC（商业欺诈邮件）。FBI数据还显示，BEC受害者在2019年损失了17.7亿美元，平均每次投诉损失7.5万美元。我国也是BEC攻击的高发区。国家互联网应急中心（CNCERT）公布的数据显示，2019年，CNCERT监测到党政重要机关遭受钓鱼邮件超过50万封，平均每月4.6万封。另有数据显示，2019年全国企业邮箱用户共收到钓鱼邮件约344.3亿封，较2018年增长68.5%，携带漏洞利用恶意代码的Office文档是钓鱼邮件的主要载荷。去年，腾讯安全威胁情报中心检测到一起以PPT文档为诱饵的钓鱼邮件攻击。经分析发现，该黑业组织投递的钓鱼邮件中，附件PPT文件中含有恶意宏代码。用户一旦打开，就会启动恶意程序，下载Azorult木马，造成账号密码丢失、信息泄露等严重后果。钓鱼邮件给企业造成巨大损失。根据全球最大的白名单提供商ReturnPath发布的一份报告，要恢复网络钓鱼攻击的影响，大型企业平均每年需要花费370万美元，其中包括生产力损失、消费者服务和监管罚款。这还只是钓鱼攻击造成的直接损失。上述报告还显示，在遭受邮件钓鱼攻击后，消费者将不再信任品牌，品牌Gmail阅读率下降18%，Yahoo下降11%。来自品牌的合法电子邮件也被电子邮件提供商归类为垃圾邮件，Gmail的电子邮件打开率平均下降10%，雅虎的下降7%。数字时代迫切需要“安全左移”。网络安全案件频发，为企业信息安全建设敲响了警钟。随着我国正走向大数据时代，企业对通信技术和计算机应用的依赖度越来越高。一旦发生网络安全事件，公司的资产、业务和声誉都将遭受巨大损失，甚至自身的生存基础也会动摇。那么，企业如何在享受信息化红利的同时，抵御日益致命的网络安全风险呢？最重要的是“安全左移”。腾讯安全技术专家认为，网络安全建设应该是顶层项目的重点，安全建设应该在生产环节前装。同时，借助人工智能和大数据技术，提前发现并处理异常，降低高风险环节的权限，主动控制重要数字资产的风险暴露时间窗口，减少攻击面被尽可能地减少。相比于对威胁的“反应”，提前“感知”威胁显然是提高安全防护效率、降低安全风险最经济的方式。因此，威胁情报的安全投入对于企业主动攻防非常重要，也是在安全左移趋势下，企业做好安全面前的有效途径。以腾讯威胁情报系统为例，该系统可以为企业提供全面准确的可执行决策的相关知识和信息，协助企业防范各类网络入侵攻击，实现“先防后攻”.,避免潜在的损失。另一方面，以“持续验证，永不信任”为核心的零信任无论是在高安全配置还是降低成本方面，都是企业在常态化远程业务过程中进行安全建设的性价比价值点和效率增加。即使企业面临被入侵风险，在多维身份认证、最小权限动态访问控制、可变信任管理等策略的保护下，iOA等客户端防护解决方案也能为访问提供持续的安全保护企业资源。在红杉遭遇的钓鱼邮件攻击事件中，如果能够提前建立多层次的防御体系，通过威胁情报系统和安全运营体系，将各级安全产品有机地融合在一起，有利于最大程度地减少黑客入侵。入侵风险，减少潜在损失。如需转载，请注明原文地址。
