商业电子邮件妥协(BEC)诈骗者正在利用对投资者的新攻击，可以获得高达平均利润的七倍。在了解BEC的具体手段之前，有必要先了解一下华尔街的投资策略。当投资者买入一家公司的投资基金，如私募股权基金或房地产基金时，投资者可以把钱留在身边，直到公司提出要求为止。该协议允许投资者将资金用于赚取利息的更有利可图的投资，而不是闲置在投资基金中。当一家公司准备好使用投资者的资金时，他们会发出正式的“催款”通知，要求投资者向他们发送商定的金额。根据电子邮件网络安全公司Agari的一份新报告，BEC诈骗者瞄准华尔街BEC诈骗者现在正在使用比一般BEC更有利可图的虚假集资通知来诱骗他们的诈骗。很多。在新的《2021年电子邮件欺诈和身份欺骗趋势》报告中，Agari指出电汇BEC诈骗的平均利润为72,000美元。这些骗局涉及攻击者冒充供应商并要求受害者向他们持有的银行账户汇款。虚假催款通知平均获利80.9万美元，是普通BEC骗局的7倍！BEC攻击者冒充被投资公司向投资者发送邮件，要求其根据投资承诺划转资金。由于这些交易的性质，要求的金额远高于大多数电汇诈骗要求的金额。根据Agari的说法，攻击是由攻击者向知名投资者的财务人员发送电子邮件，要求他们为虚假投资付款而引发的。此外，Agari表示攻击者在攻击期间没有使用任何内部知识。他们的方法与普通的BEC攻击者没有区别。BEC的虚假催款信专家表示，Agari检测到的攻击是由电子邮件服务功能发送的，其中大部分来自捷克的centrum.cz网络邮件提供商。这些电子邮件的附件是伪装成要求支付投资资金的催款通知的文件。虚假催款信一旦成功诱骗受害人转账，攻击者迅速将钱转到自己控制的账户，并利用钱骡和高价值物品转移到他国）提款，让银行无法退回骗取受害人资金。虽然电汇诈骗一直存在，但诈骗者会针对不同的人群使用不同的攻击手段，获取更多的利润。为防范BEC，无论是企业还是个人都必须提高邮件安全意识。BEC防御建议Agari针对此次事件提出了相关BEC防御建议：部署强大的反钓鱼邮件和邮件认证保护技术，专门防御高级身份欺骗和品牌欺骗攻击。建立处理付款请求的正式流程。应特别注意付款信息与原始协议不符的情况。切勿使用电子邮件中的联系方式，而应使用原始协议中的联系方式。汇款时务必直接通过电话与投资公司确认请求和银行信息。除了以上Agari提供的建议外，还有一些建议可以借鉴：（参考FreeBuf文章《DMARC：企业邮件信息泄漏应对之道》）（1）始终保持少于10条DNS查询记录。超过10条DNS查询记录就会使用户的SPF彻底失效，即使是普通的邮件也无法通过认证。在这种情况下，如果DMARC设置为“拒绝”，则不会发送常规电子邮件。(2)确保邮件在传输过程中的TLS加密尽管DMARC保护用户免受社会工程学攻击和BEC攻击，但它仍然需要为无处不在的监视攻击做好准备，例如中间人（MITM）。这可以通过确保每次将电子邮件发送到用户域时，通过TLS安全连接在SMTP服务器之间进行协调来实现。（3）使用BIMI提高邮件安全性使用BIMI（BrandIndexforEmailIdentification）进行分类，帮助收件人更直观地识别收件箱中的对方身份，将企业邮件的安全性提高到一个新的水平。来源：bleepingcomputer
