总裁诈骗科普

中华博大精深的传统文化在遇到现代科技文明时,总显得那么老套保守与格格不入。特别是网络安全科技领域内,中文词语总是很不够用,只能笼统和概括地使用相似的词汇。反观一衣带水之邻国日本,对于现代的外来文明,却有着强烈的开放性和包容性,特创的“片假名”文字,让其可以快速而轻易地吸收和转化他国新出现的词汇。扯远了,我们今天要说的是“总裁诈骗”,其实在中国官方媒体看来,不管怎么骗,只要使用了电话,就都是“电信诈骗”的一种,只要使用了网络,就都是“网络钓鱼”。这种简单的分法也没有什么大错,特别是对于很多外行来说,了解个粗略就差不多了,讲太多专业词汇,会让人迷惑,难以接受。说到底,这种“不严谨”有“不严谨”的好处,也有坏处。

什么是总裁诈骗?

“宾阳仔”转账骗钱的财务受害者往往就是遭遇到了“总裁诈骗”。最近,广西宾阳的“成功”经验已经被很多同行习得并开始就用于国内以及国际,网络犯罪分子就像商人一样:希望以最小的投资获得最大的利润。近期可观察到的趋势是黑客积极利用商业电子邮件攻击,也被称为“总裁诈骗”、“CEO欺诈”等等。这种类型的骗局是非常有利可图的,因为它只需要成功几次就能为犯罪分子带来极具成本效益的收入。某家企业的总裁被骗个成百上千万的事情似乎经常见诸于媒体,何况“被曝光的丑闻只是冰山一角”。

现在,网络犯罪分子在发动攻击之前首先进行研究,而不是花费数小时向大量电子邮件地址发送网络钓鱼电子邮件(使其更容易被识别为垃圾邮件,而不太成功)。他们选择容易发起商业电子邮件攻击的企业,然后使用社会工程来找出首席执行官或首席财务官(确保他们有确切的姓名),并找出在业务范围内的受害者。这些受害者通常是财务部门负责管理资金的人员,或者高级职员、公司律师、可信赖的供应商等……网络犯罪分子然后发送欺诈性电子邮件,模仿首席执行官或首席财务官,并试图欺骗他们的受害者发起一次或多次电汇。

成功的商业电子邮件攻击进一步让网络犯罪分子侵入受害者的业务系统,进而可以不受限制地盗用受害者的电子身份如网银证书等,进而窃取大量或巨额的财产。

网络安全专家的解释

昆明亭长朗然科技有限公司网络安全专员董志军表示,黑客通常会使用几个简单但高效的技巧来避免引起怀疑,并确保他们的受害者尽可能快地行动,而不需要再考虑或进一步验证:

  • 仿冒合法的电子邮件地址,使用类似于目标企业的假冒域名。
  • 使用紧急语气,请求“尽快”完成资金转帐。
  • 在虚假电子邮件中说明首席执行官或首席财务官正在开会,并且在会议期间不会回复电子邮件或接听电话。
  • 暗示发件人正在使用设备编写电子邮件,使用众所周知且常用的短语“从我的iPad发送”代替公司电子邮件签名。
  • * 注意:此技巧特别有效,因为暗示从移动设备发送电子邮件可以解决任何不良的语法拼写错误或缺少合法的电子邮件签名,这通常会触发网络钓鱼邮件的识别。它还有助于增强紧迫感:如果没有施压,发送者会等到他/她回到办公桌前。黑客也可能会使用社交工程来了解高管何时出差,让他们的受害者更加可信。
  • 网络犯罪分子将确定他们要求的适当金额的电汇,以避免引起怀疑;他们在社会工程研究期间会收集相关的信息。

目标受害者有哪些?

受害者不仅限于某种类型的商业机构,黑客瞄准大中型企业,小型企业,非营利组织等……他们总有一个共同特征:受害者的企业必须与外部供应商合作和/或定期使用电汇付款。

为什么能成功?

网络犯罪分子依赖人们“对老板的恐惧”心态:所有员工都希望在工作中发挥作用,他们可能不会拒绝直接来自公司内最重要人物的指令。员工通常觉得有义务遵守他们的首席执行官的要求,这就是网络犯罪分子成功的要素。

紧迫感对于这些骗局也起到关键作用。由于电子邮件收件人感觉这是一件紧急事情,并且他/她无法联系到老板以获得转账的第二次批准,因此目标员工几乎肯定会商业邮件骗局而陷入困境。

如何防止栽倒于商业邮件骗局?

昆明亭长朗然科技有限公司建议企业遵循以下提示,以避免沦为该骗局的受害者:

  • 教育你的员工,提升员工的安全防骗意识。
  • 监控收件箱中的电子邮件地址,以避免遭遇域名欺骗。
  • 教育员工质疑要求快速行动的电子邮件,无论这些电子邮件看起来寻常与否,特别是请求不遵循正常程序的。
  • 建议他们通过拨打电话以验证业务合作伙伴或供应商的合法性。
  • 使用双因素或多级身份验证来启动电汇。

想要更多?

昆明亭长朗然科技有限公司有几十部安全教育方面的互动教程和小游戏,以及三百来部信息安全动画视频,如果您有兴趣预览,欢迎您通过如下方式快速联系到我们。
昆明亭长朗然科技有限公司
电话:0871-67122372
手机:18206751343
微信:18206751343
邮箱:info@securemymind.com
QQ:1767022898

小议社会工程学攻击及防范策略

近期,我们接触了不少大中型机构的网络安全负责人,他们都表现出对社会工程学攻击防范的兴趣,当然大多数负责人都希望能有详细的教程,来防范各种类型的社交工程攻击。甚至还有负责人给我们列出一个详细的社会工程攻击防范思维导图,里面有几十种不同向量的攻击设想。对此,昆明亭长朗然科技有限公司信息安全研究员董志军感叹道:看样子,市场和客户对社会工程学防范的认识度已经很高了。

尽管如此,也仍然有大量的安全从业人员认为黑客行为主要是使用恶意软件和编码绕过安全防护并窃取数据或金钱的行为。社会工程学骗子只是采用了低级的没什么技术含量的方法,以人为目标而不是软件为目标,是小菜一碟,不值一提。

不管如何,对任何事物,有不同的见解,有不同的声音,这样的世界才是正常的、稳定的和可靠的。因此,我们安全管理者不必要说谁对谁错,用自己认为正确的观点去压制有不同观点的安全技术人员,安全技术人员们那样认为,是由于他们不在管理岗位,当然会选择性地忽视非自己核心技术能力的领域。每个人都有自己的认知圈,这个世界很大,不必要强求他人和我们一样,只需“和而不同”。

话说回来,社会工程学骗子也是利用人类行为的知识来进行攻击的。一个人的偏见、假设、信念等可能使攻击者诱骗他们做一些符合攻击者利益的事情。这就是人们常说的:社会工程领域是基于心理学和行为学的。

研究发现,在如下一些情况下,人们更有可能遵守要求和付诸行动:

  • 要求由权威人士提出;
  • 请求者与受害者一样具有相似的兴趣、信念和态度;
  • 请求者给予或承诺给受害者一些有价值的东西,以换取他们的帮助;
  • 请求者提出的某种原因是受害人公开认可的;
  • 如果受害人符合要求,将与其他人的行为相符;
  • 请求者要求临时或短时内使用;

社会工程骗子意识到这些人为偏见,并以各种方式加以利用。通过针对人为因素,他们绕过旨在防止“常规”黑客攻击的技术型防御措施,从而增加了成功攻击的可能性。

社会工程学攻击可以通过任何渠道进行。这些路子五花八门,包括互联网、电话或面对面交谈等等,来绕过组织机构的网络防御。接下来,我们将简要介绍一些最常见的社交工程攻击类型。

基于网络的攻击

互联网使网络攻击在全球范围内成为可能,有多种基于网络的社会工程攻击手法,构建一个钓鱼网站是最常见的攻击方式。

水坑式绕道攻击

在水坑攻击中,黑客利用人们的习惯来攻击他们。当准备攻击特定目标时,攻击者会观察他们的浏览习惯,以识别他们通常访问的站点的类型。例如,当定位财务人员时,他们可能定位到税务服务或类似的站点。然后,攻击者会破坏目标站点,并迫使其向用户提供恶意内容,或创建用户可能访问的恶意站点。最终,用户访问该站点并受到入侵。

基于消息的钓鱼

网络钓鱼是社会工程学中最常见的类型。不过,大部分网络钓鱼都是从钓鱼邮件或钓鱼短信开始的。通常,这意味着让最终用户单击恶意链接进入钓鱼网站或下载并打开恶意附件。网络防御者们不断开发出识别和阻止网络钓鱼电子邮件的方法,同时黑客也不断创造出逃避这些保护的新方法,博弈态势在不断变化之中。

基于电话的攻击

基于电话的社交工程攻击常被简称为电信诈骗,它基于模仿目标用户想要与之交谈的某人,冒充政府、邮递、公安和银行是常见的选择。

基于电话的针对企业职员的一种特定社交工程类型是帮助台诈骗。攻击者伪装为目标组织的IT帮助中心成员,利用各种借口使攻击者告诉用户在其计算机上采取某些操作。

面对面的攻击

尽管甚至网络和电话系统可以从任何地方进行网络攻击,但有时面对面的攻击最为有效。假冒身份现场面对面沟通对攻击者而言非常有用,与通过电话或电子邮件相比,人们更有容易向身边聊天的人泄露敏感信息。

基于场所的攻击

对公司办公室的物理访问可以为攻击者提供大量有价值的数据。通过组织的会议室的白板上、办公室的桌子上、未锁定的计算机、未及时取走文档的打印机复印机……攻击者可以潜入内部,轻易窃取敏感数据和非常有用的信息。

为了利用这些机会,攻击者需要能够进入大门。尾标是完成此操作的最常见方式。一般而言,大多数人都很友善,并希望帮助他人,尤其是那些背着沉重的电脑包,行色匆忙的人。

免受社会工程学攻击

社会工程骗子利用人们的想法进行攻击,其中有许多是在潜意识层面上发生的,因此很难从技术层面识别和防御社会工程学攻击,要应对潜意识层面的攻击,也需得从意识层面入手。

社会工程学归结为试图执行未经授权的行为。对此,董志军借用一家知名客户总结出来的三步法,分享与您,用来应对各种请求:

  • 验证该人是其所声称的人
  • 验证该人是否有权提出请求
  • 确认您自己是否有权提供

如果您可以验证所有这三个条件都是符合的,则可能与社交工程攻击无关。总之,有人向您索取公司信息或帮助时,花点时间放慢脚步,并遵循适当的流程是保护自己免受社交工程师攻击的最佳方法。

昆明亭长朗然科技有限公司推出了专门针对职场人员的社会工程学防范意识课程,欢迎有需要的客户或伙伴们联系我们,洽谈合作。当然,如果您对文中的这个话题有兴趣或者有自己的观点看法,欢迎联系我们,以进一步深入探讨。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898