什麼是商務電子郵件入侵（BEC）？
商務電子郵件入侵（BEC）透過欺騙性電子郵件鎖定組織。了解如何識別並防範這些代價高昂的攻擊。
商務電子郵件入侵（BEC）是一種鎖定企業以竊取金錢或敏感資訊的複雜詐騙。本指南將探討 BEC 攻擊如何執行、其對組織的影響，以及有效的預防策略。
了解員工訓練與意識提升在對抗 BEC 威脅中的重要性。理解 BEC 對組織保護其財務資產與敏感資料至關重要。
什麼是 BEC（商務電子郵件入侵）？
在大多數情況下，商務電子郵件入侵始於遭入侵或遭偽冒的電子郵件帳戶。
詐騙者通常假借受信任供應商或公司高階主管的名義，使用遭竊或偽造的憑證，誘騙員工交出財務授權或機密資訊存取權限。這可能包括將電匯款項匯給不合法的第三方。員工誤以為電匯指示來自高階領導成員，因而在不知情的情況下將資金直接匯給攻擊者，構成詐欺行為。
一旦資金離開公司帳戶，就一去不回。在許多情況下，資金最終會流入海外銀行帳戶，犯罪分子利用這些帳戶在不被追蹤的情況下收取資金。
作為社交工程的一種形式，BEC 需要攻擊者讓被鎖定的員工相信其資金請求是合法的，才能推動電匯完成。攻擊者在執行 BEC 攻擊前，可能會花時間進行偵察，以確保他們掌握足夠資訊，了解其所冒充的供應商或高階主管，以及其請求所鎖定的員工。
在攻擊者竊取密碼並入侵合法帳戶，而不是 偽冒 這些帳戶的情況下，社交工程手法也很常見。
商務電子郵件入侵範例
BEC 的第一階段通常涉及定向網路釣魚（亦稱為 魚叉式網路釣魚）攻擊，或透過 鍵盤側錄程式 進行憑證竊取。例如，C-suite 高階主管可能成為 網路釣魚 攻擊的目標，該攻擊會安裝 Remote Access Trojan（RAT）以蒐集憑證及其他有用的商業資訊。
之後，該帳戶可能被用來指示其他員工完成來自假供應商的電匯請求。需要注意的是，這些電子郵件通常帶有極度緊急的語氣，並敦促被鎖定的員工對交易保密。遭偽冒或遭駭入的 C-suite 高階主管帳戶可能被用來寄送如下內容的內部電子郵件：
商務電子郵件入侵造成多少成本？
聯邦調查局網際網路犯罪申訴中心蒐集的統計資料顯示，2013 年至 2021 年間，國內外共發生 241,206 起 BEC 事件。暴露損失總額超過 $43 billion。
PSA 強調：「這一增長部分可歸因於 COVID-19 疫情期間對正常商業慣例施加的限制，導致更多工作場所與個人以虛擬方式進行日常業務。」FBI 也指出，涉及加密貨幣的 BEC 投訴數量有所增加。
在 2020 年之前，BEC 仍然是一個問題。 統計資料 顯示，2019 年美國因勒索軟體造成的損失平均每起事件約為 4,400 美元，總額接近 900 萬美元。相比之下，BEC 造成的損失高出約 17 倍，每起事件達 75,000 美元，同期總財務損失超過 17 億美元。
在 FBI 於 2019 年記錄的所有網際網路犯罪財務損失中——總計約 35 億美元——BEC 約占總額的 50%：
商務電子郵件入侵詐騙如何運作
典型的商務電子郵件入侵詐騙會依照下列時間軸進行：
1. 目標識別
攻擊者會找到目標，並蒐集他們能找到的所有相關資訊。這可以透過匯出線上可取得的資訊來完成，以建立公司及其高階主管的資料檔案。
2. 接觸
魚叉式網路釣魚電子郵件或電話會鎖定受害者的公司（通常是財務部門成員）。攻擊者會與被鎖定的員工往返一連串電子郵件，以建立受信任的關係。他們通常會假裝成受信任的供應商或員工，詢問付款或敏感資料。
3. 資金請求
一旦建立信任，詐騙者就會提出資金請求。這不會立即引起員工警覺，因為他們真的相信這是合法交易。在某些情況下，攻擊者甚至可能再次出現並要求另一筆轉帳。
遭遇商務電子郵件入侵詐騙後該怎麼做
員工一旦懷疑自己成為目標，應立即採取幾個步驟來保護公司的其餘部分。
- 通知公司 IT 部門此事件，以保護遭入侵的電子郵件帳戶
- 重設或變更所有遭入侵帳戶的密碼
- 聯絡匯出資金的金融機構，並要求追回或撤銷款項
- 向 FBI 網際網路犯罪申訴中心
- 持續教育所有員工與管理者，了解如何防範任何進一步的 BEC 行動。
幸運的是，有一些簡單且有效的方法，可以搶先防範利用商務電子郵件入侵的詐騙者。
如何防禦 BEC 攻擊
Business Email Compromise 圍繞三個相互關聯的因素：電子郵件、人員，以及電匯。為了防範 BEC 攻擊，組織可將這些要素各自的安全性列為優先事項，作為分層式縱深防禦方法的一部分。
確認電匯
公司應透過電子郵件以外的某種媒介確認電匯請求。他們可以透過以下方式以電話驗證該請求：
- 已知且合法的公司電話號碼（不是電子郵件中提供的號碼），
- 經授權的工作場所通訊管道，或
- 面對面當面確認或透過視訊會議軟體。
對組織而言，最佳實務還包括為電匯實施次要確認政策。員工應對那些未透過電子郵件以外任何媒介發起的要求保持警覺（而這正是攻擊者經常建議的方式）。
啟用多重要素驗證 (MFA)
雖然並非完全不受攻擊影響，但為電子郵件帳戶啟用多重要素識別（MFA）能帶來極大幫助。MFA，有時也稱為 雙因素驗證 (2FA)，只需額外要求一種驗證使用者身分的方法，即可防止大多數帳戶接管嘗試。
生物辨識或硬體安全金鑰（例如 Yubikey）是實作 MFA 的另一種替代方案。
偵測惡意電子郵件
電子郵件長久以來一直被證明是惡意行為者的最佳幫手。據估計，企業所有攻擊中約有 80% – 95% 是透過電子郵件傳播，因此，制定保護使用者免受惡意電子郵件侵害的策略，是防禦中的重要支柱。
除了電子郵件的實際文字內容之外，與電子郵件整體相關的兩大主要技術風險是：惡意附件和連結。
管理惡意附件
在 Business Email Compromise 中，攻擊者可能使用附件來執行可執行程式碼，進而部署 RAT 以安裝 鍵盤側錄程式、後門等。攻擊者會使用這些以及其他後利用工具來竊取憑證和有用資料，例如聯絡人與先前的電子郵件往來內容。
BEC 詐騙者通常會花一些時間對受害者進行側寫，以製作出盡可能具說服力的內容，藉此提高詐騙中社交工程層面的成功率。因此，檢視一系列可防止附件執行程式碼的選項非常重要。附件過濾可透過多種方式使用，以協助降低程式碼執行的風險。例如，可使用電子郵件掃描軟體變更附件的檔案格式，使其無法執行隱藏程式碼。
雖然這在某種程度上可能有效，但也可能阻止使用者使用需要編輯或還原為原始格式的文件來執行一般業務工作。考量到這種影響，使用者的抗拒可能會很高。
更好的解決方案會涉及 內容拆解與重建 (CDR)，其會拆解附件並移除有害內容。這種方法既非常有效，又能降低使用者抗拒，因為該流程對使用者層級而言是透明的。
巨集、封存檔與白名單的最佳實務
防範 BEC 也包括針對巨集、封存檔與白名單建立防禦措施。以下是一些使用者可遵循的最佳實務：
- 盡可能停用或限制巨集： 許多攻擊會利用 Microsoft Office 的 VBA 指令碼語言來呼叫 C2 伺服器並下載惡意酬載。
- 確保電子郵件掃描軟體能妥善處理封存檔：如果未完整解壓縮檔案，壓縮檔可能會繞過某些不夠成熟的掃描引擎。已知攻擊者會將封存檔附加到其他檔案（例如影像）後方，而某些安全軟體可能會忽略這種情況。
- 依副檔名將檔案加入白名單時務必小心：攻擊者會嘗試將可執行檔重新命名為不可執行的副檔名，以繞過白名單規則。如果使用者確實要將附件加入白名單，建議使用依檔案類型加入白名單的政策——掃描檔案以檢查其格式——以避免最容易發生的繞過方式。
管理連結與寄件者驗證
為了防範包含惡意連結的電子郵件，有些組織會將電子郵件中的超連結去功能化，使其無法點擊。使用者必須改為將連結複製並貼上到瀏覽器中；這是一個需要有意識進行的過程，讓使用者有機會停下來思考自己正在做什麼。
問題仍然在於，只要安全性影響到生產力與便利性，就可能導致某些使用者抗拒。這項安全措施有兩個缺點：既不方便，也可能失效；延遲可能令人沮喪，而即使引入延遲，仍無法保證使用者不會造訪該連結。
另一項值得考慮的策略是寄件者驗證，透過以下驗證方法，例如 DMARC 和 SPF/DKIM。這些方法有助於標示偽造的寄件者身分，例如 spoofed accounts，但在帳戶屬於組織中合法成員、但已遭攻擊者入侵的情況下，可能無法發揮作用。
最後，重要的是透過為所有端點部署 AI 驅動的安全解決方案，同時防範惡意附件與惡意連結；此解決方案可在惡意程式碼嘗試執行時偵測並封鎖它，而不論其來源為檔案或無檔案，以及連結或巨集。
Get Deeper Threat Intelligence
See how the SentinelOne threat-hunting service WatchTower can surface greater insights and help you outpace attacks.
透過 SentinelOne 保持防護
雖然要阻止威脅行為者嘗試發動攻擊具有挑戰性，但仍有可能在攻擊深入網路內部擴散之前偵測到攻擊。
像 SentinelOne 不僅能在 BEC 攻擊發生時偵測到，還能確保安裝 RAT、鍵盤側錄程式及其他惡意軟體的企圖當場遭到阻止。
雖然商務電子郵件入侵詐騙鎖定的是「最薄弱的環節」—— 忙碌且盡力提高生產力的員工 —— 但組織為預防與偵測這些網路安全威脅所採取的每一步都會帶來改變。
如果您想了解 SentinelOne 的 Singularity platform 如何保護您的企業免受以電子郵件為基礎的網路安全攻擊，立即申請免費示範。
喜歡這篇文章嗎？歡迎在 LinkedIn、Twitter、YouTube 或 Facebook 追蹤我們，查看我們發布的內容。
閱讀更多關於網路安全的內容
商務電子郵件入侵常見問題
商務電子郵件入侵是一種網路攻擊，犯罪分子會偽冒或入侵企業電子郵件帳戶，誘騙員工匯款或分享敏感資料。他們經常冒充高階主管、供應商或合作夥伴，利用精心設計的電子郵件製造急迫感，並繞過正常的安全控制。
BEC 攻擊者通常鎖定設有財務部門、高階主管或人資團隊的組織。無論是小型或大型公司，都可能成為受害者。攻擊者會針對有權核准付款、存取機密資訊，或與供應商往來的員工下手，以操縱合法交易進行詐騙。
攻擊者會偽冒或取得受信任電子郵件帳戶的存取權，接著發送假發票、資金轉帳請求或敏感資訊查詢。他們會製造急迫感或保密需求，迫使收件者迅速採取行動，往往繞過驗證程序。這些電子郵件看起來十分合法，因此提高了成功機率。
不尋常的電匯或敏感資料請求，尤其是在正常上班時間之外。要求保密或催促立即行動的電子郵件。電子郵件地址或網域的細微變化、拼錯的姓名，或不熟悉的匯款指示。與既定程序不一致的請求都是警訊。
MFA 可透過阻擋未經授權的帳戶存取來提供協助，但並非完整防護。許多 BEC 詐騙依賴偽冒或社交工程，而這些手法不需要遭入侵的憑證。將 MFA 與使用者訓練、電子郵件過濾及交易驗證結合，才能有效降低風險。
常見類型包括 CEO 詐騙（冒充高階主管）、發票詐騙（偽造供應商發票）、帳戶入侵（遭駭的電子郵件帳戶）以及冒充律師。每一種都利用社交工程手法，誘騙員工執行未經授權的操作，且往往伴隨財務損失。
對電子郵件帳戶要求多因素驗證與強式密碼。訓練員工辨識網路釣魚與社交工程。實施嚴格的付款驗證流程，例如回撥確認。使用進階電子郵件過濾與反偽冒技術，例如 DMARC。定期稽核電子郵件與財務工作流程中的異常情況。
立即變更受影響帳戶的密碼並撤銷工作階段權杖。確認是否已有任何款項匯出，並在可能情況下追回或阻止交易。通知財務團隊及執法機關等相關單位。進行完整調查、更新安全控制，並重新調整訓練以防止再次發生。
深入了解 威脅情報
準備好徹底革新您的安全營運了嗎？
了解 SentinelOne AI SIEM 如何將您的 SOC 轉型為自主化的強大中樞。立即聯絡我們以取得個人化示範，親眼見證安全防護的未來如何實現。
