针对脸书和谷歌的1亿美元骗局

骗局概要

立陶宛的里马萨斯卡斯注册成立了一家公司,冒充总部位于台湾的广达电脑,广达电脑与脸书和谷歌有业务往来。在骗局中,里马萨斯卡斯和他的同伙利用假冒的邮件账户制作了相当令人信服的伪造电子邮件,这些电子邮件看起来就像是由台湾真正的广达公司员工发送的。

2013至2015年期间,他们向脸书和谷歌的员工发送了带有假发票的钓鱼邮件,这些员工 “经常与广达进行数百万美元的交易”,而这些员工的回应是向假公司的银行账户支付了1亿多美元。

根源分析

  1. 缺乏强大的身份验证流程: 骗子利用脸书和谷歌身份验证流程中的漏洞,冒充员工和供应商。这使他们得以绕过安全控制,在未经授权的情况下访问内部系统和财务信息。
  2. 安全意识和培训不足: 员工和供应商可能没有接受过足够的培训,无法识别和应对骗子使用的复杂社交工程策略,如网络钓鱼电子邮件、假冒和操纵。对此,昆明亭长朗然科技有限公司网络安全专员董志军表示:即使是脸书和谷歌这种科技大厂,员工们也并非全都具有较强的伪造邮件辨识能力。像一颗颗螺丝钉一样,他们更多的被要求执行既定的工作流程,诈骗分子熟知这些情况,便利用人类漏洞,发起有针对性的网络钓鱼攻击。其中,电子邮件假冒是指发送伪造的电子邮件,让收件人误以为是来自合法发件人,从而骗取敏感信息或进行其他不正当操作。域欺骗是利用伪造的网站或电子邮件假装成合法网站或信任来源,常用于网络钓鱼和其他犯罪活动。
  3. 内部威胁:可能存在内部人员参与或者受到威胁的员工账户促成了这次诈骗。董志军补充说:内部威胁包含有意的和无意的,有意的内外勾结的情况不能排除,更大的可能是无意的人为失误,对于使用域欺骗的特别是域名非常相近的假冒邮件,稍稍粗心大意的员工是不会辨识出来的。
  4. 访问控制和监控不足: 骗子可能利用了访问控制和监控机制中的漏洞,使他们能够在未经授权的情况下访问敏感信息和财务系统,而不被及时发现或阻止。
  5. 第三方风险管理不足: 欺诈者可能瞄准了安全控制较弱的第三方供应商或合作伙伴,利用他们作为切入点来访问脸书和谷歌的系统和财务流程。

经验教训

  1. 加强身份验证流程: 对需要访问敏感信息或财务系统的员工、供应商和合作伙伴实施强大的身份验证流程,包括多因素身份验证、生物识别身份验证和严格的背景调查。
  2. 加强安全意识和培训: 定期培训员工、供应商和合作伙伴如何识别和应对社交工程策略、网络钓鱼企图和其他网络威胁。强调提高警惕和遵守安全协议的重要性。
  3. 改进访问控制和监控: 根据 “最少特权 “原则实施严格的访问控制,确保个人只能访问其角色所需的资源和信息。加强监控和记录机制,及时发现和应对可疑活动。
  4. 加强第三方风险管理: 对第三方供应商和合作伙伴进行彻底的尽职调查和安全评估,确保他们保持适当的安全控制和做法。定期审查和监控他们对系统和信息的访问。
  5. 实施强有力的事件响应和恢复计划: 制定和测试事故响应和恢复计划,确保及时发现、控制和解决安全事故,并最大限度地减少任何潜在的经济损失或数据泄露。
  6. 培养具有安全意识的文化: 在组织内部培养具有安全意识的文化,将安全放在首位,鼓励员工报告可疑活动或潜在的安全漏洞,而不必担心遭到报复。
  7. 持续改进: 根据从事故、行业最佳实践和不断变化的威胁环境中吸取的经验教训,定期审查和更新安全政策、程序和控制措施。

通过实施这些经验教训,企业可以增强其安全态势,降低经济损失风险,并保护其声誉和客户信任。网络钓鱼、社会工程、勒索软件是近些年网络安全领域的顽疾,并非技术应对措施不足,而是人类的弱点难修复。

为帮助各类型的组织机构修复网络安全中人性的弱点,昆明亭长朗然科技有限公司专注于助力各类型的组织机构建立和实施网络安全意识教育计划,我们创作和推出了大量的安全意识宣教内容资源,包括动画视频、电子图片和网络课程。欢迎有兴趣的朋友联系我们,预览我们的产品作品,体验我们的在线系统。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com

香港2560万美元的深度伪造骗局的根源分析

香港2亿港元的深度伪造骗局是一个备受瞩目的案例,它凸显了日益复杂的深度伪造技术所带来的日益增长的风险和挑战。

以下是该案的根源和经验教训概述:

根本原因:

  1. 该骗局涉及使用深度伪造音频和视频冒充多位真实公司人员的声音、肖像以及行为举止。对此,昆明亭长朗然科技有限公司网络安全研究员董志军表示:虽然具体案情细节不明,财务人员并未参与多人视频的对话,但是从人工智能深伪技术来讲,这些从理论到实际都是可以实现的。
  2. 犯罪者设法说服该公司高管的下属向骗子控制的15个银行账户转账共计2500万美元。董志军表示质疑,15个银行账户,稍有常识的财务人员应该会觉察出该转账指示的异常,相信该受害者也已发觉异常,但可能在犯罪分子的说动之下,仍然选择了轻信和服从。
  3. 所使用的深度伪造技术非常先进,足以绕过最初的审查并让受害者信以为真。董志军补充称,不管如何先进的深伪技术,如果内部的转账控管流程完善的话,也会被及时发觉和制止。没有系统化的管理,没有经过真实的领导的审批,财务人员就转账了,这漏洞也是关键要素。
  4. 财务人员在遇到可疑的金融请求时未谨慎行事,并采取必要的验证措施。董志军补充说,防金融诈骗意识的不足,原因是很多财务方面的专业人员一直生活在信息“茧房”之中,被个人化兴趣所封锁,陷入自我局限。简单说,转账转多了,工作任务之一就是转账,人都麻木了。

经验教训:

  1. 深度伪造技术正变得越来越逼真和难以察觉,给身份盗窃、欺诈和其他犯罪活动带来了巨大风险。
  2. 企业和个人需要实施强大的身份验证协议,而不仅仅是识别熟悉的声音或面孔。应考虑采用生物识别身份验证和多因素验证。
  3. 对组织和个人来说,对深度伪造风险的认识和社会工程诈骗教育至关重要。应培训员工识别潜在的深度伪造企图,并严格遵守验证程序,尤其是针对高价值交易或敏感信息。
  4. 应开发和采用技术解决方案,如先进的深度伪造检测算法和水印技术,以帮助降低深度伪造滥用的风险。

香港深度伪造骗局敲响了警钟,让人们认识到这一技术的潜在危险,以及采取积极措施打击滥用的必要性。它凸显了保持警惕、实施强有力的安全协议以及不断适应新兴技术威胁的重要性。昆明亭长朗然科技有限公司开发了针对财务等关键人员的网络安全意识培训教程,包含金融诈骗、网络钓鱼和社会工程的识别与防范之道,欢迎有兴趣和需要的客户及伙伴联系我们,预览作品内容或在线体验我们的服务。

  • 电话:0871-67122372
  • 手机、微信:18206751343
  • 邮件:info@securemymind.com