最近，有报道称，一种新的恶意软件正在通过针对LinkedIn帐户的网络钓鱼活动劫持备受瞩目的MetaFacebook业务和广告平台的帐户。研究人员表示，这种名为Ducktail的恶意软件使用来自经过身份验证的用户会话的浏览器cookie来接管帐户，并最终劫持受害者有权访问的任何Facebook商业帐户，窃取数据。什么是帐户劫持？账户劫持是控制他人账户的行为，通常是为了窃取个人信息、冒充或勒索受害人。账户劫持是一种常见的攻击类型，但执行起来并不容易。为了成功地进行攻击，攻击者必须事先弄清楚受害者的密码。劫持公司帐户可能会造成巨大的安全威胁。例如，在上述“Facebook企业账号被劫持”事件中，攻击者为了渗透账号，发起了针对LinkedIn用户的钓鱼活动，使用与品牌、产品、项目计划相关的关键词，引诱受害者下载恶意软件Archives可执行文件和关联的图像、文档和视频文件。据了解，该恶意软件从Facebook窃取的具体信息包括：安全凭证、个人账户识别信息、业务详细信息和广告账户信息。此外，研究人员表示，Ducktail还允许威胁行为者对Facebook商业帐户进行全面的管理控制，这可能使他们能够访问用户的信用卡或其他交易数据以获取经济利益。尽管如此，新的恶意软件Ducktail能够使用经过身份验证的Facebook会话从受害者的Facebook帐户中窃取信息。但总的来说，身份和访问管理仍然是保护公司账户的一个很好的解决方案。学习利用多因素身份验证例如，企业可以在VPN端点上实施RADIUS身份验证，需要唯一的访问凭据。RADIUS身份验证比使用共享凭据安全得多，但如果用户凭据不幸遭到泄露，则需要额外的保护。这时候，多因素认证就派上用场了。例如，要求用户在登录VPN和RDP系统时提供第二因素身份验证因素可以使登录过程更加安全。目前，有几类身份验证因素可以完全抵抗暴力机器人，并且对其他有针对性的攻击同样有效。同时，企业还必须考虑各种自动化访问应用程序的方法，例如用于WebAPI的TLS相互认证的证书，以及使用的认证令牌和API密钥。但关键问题是了解用户如何登录并为每种访问方法设置适当的保护措施。访问控制例如，在企业云账户管理中，会计部门经常需要访问云提供商控制台的支付和计费部分。在IaaS环境中负责监控对象的运营工程师可能不需要访问详细的账单记录。会计部门的哪些成员可以创建新的存储空间、启动新的虚拟实例或更改在无服务器PaaS中运行的功能，哪些不能？这就是访问权限控制，比如“最小化权限”，企业必须禁止一些不必要的访问。信任但验证与Windows域帐户等内部帐户一样，企业安全经理应定期验证访问级别是否合适。建立终止和工作变动程序，以确保在个人放弃或改变角色时进行调整；审核凭据的使用，以确保它们得到有效使用；并考虑在企业中存在访问策略等工具可以发挥作用的特权身份管理工具。其中，特权身份管理工具有助于记录凭证的使用情况，例如此类工具的审计功能有助于记录系统和账户的访问痕迹。
