高管网络钓鱼攻击--实用见解和预防策略

Ahona Rudra

9个月前

阅读时间 5 分钟

特殊的高管网络钓鱼攻击是破坏公司安全的最有效和最具成本效益的方法之一。可以通过电子邮件或电话诱骗高管，但结果几乎总是一样的。

对于各种公司来说，高管网络钓鱼攻击都是一大隐患。从 2016 年到 2021 年430 亿美元（USD）。

在本文中，我们将讨论执行网络钓鱼的定义、它为何是一种威胁，以及如何避免成为下一个受害者。

什么是行政网络钓鱼？

高管网络钓鱼是一种针对高层管理人员和其他高级决策者（如首席执行官、首席财务官和高级管理人员）的网络犯罪。在网络钓鱼攻击中，通常会使用高管的姓名、电子邮件签名和其他细节，使信息看起来合法。

在 2020从 2019 年到 2020 年，CEO 欺诈和勒索软件等网络犯罪造成的损失超过 41 亿美元，报告的案件增加了 69%，超过 79.1 万件。可悲的是，这些网络威胁不仅没有减缓，反而愈演愈烈。

它的设计目的是诱骗受害者，让他们以为自己收到了来自组织内某个人或其他可信来源的电子邮件。

高管网络钓鱼攻击通常涉及一封精心制作的电子邮件，发件人是企业内部的员工，但也可能是企业外部的某个人。

这些邮件通常包含有关即将召开的会议的信息，如议程或即将签订的合同。

攻击者还可能冒充可访问敏感信息的可信员工，试图访问存储在企业网络上的机密数据。

行政网络钓鱼旨在窃取密码、敏感文件和登录凭证等机密数据。然后，攻击者将使用这些窃取的凭证访问企业资源并获取敏感信息。

相关阅读 什么是网络钓鱼电子邮件？

为什么网络钓鱼攻击以高管为目标？

以高管为目标，黑客可以获取有价值的信息，这些信息可能会在暗网上出售，或被用作对受害者公司的勒索。

由于 C 级管理人员通常可以访问敏感数据，如财务数据、个人身份信息 (PII) 和其他机密业务文档，因此他们可能成为网络钓鱼攻击的主要目标，这些攻击的目的是不择手段地获取这些数据。

行政人员网络钓鱼攻击示例

下图是行政钓鱼邮件的一个示例：

行政网络钓鱼攻击的主要类型

以下是一些主要的执行网络钓鱼攻击类型：

商业电子邮件失密 (BEC) 攻击

BEC 攻击以首席执行官和其他高级官员为目标，假冒他们的电子邮件并要求转账。

BEC 攻击者会发送带有假冒公司标志和欺骗性发件人地址的欺诈性电子邮件，诱使收件人相信他们是真实的。

发票攻击

这种攻击的目的是通过创建看似合法但包含错误或差异的假发票来窃取公司的钱财。

然后，攻击者会使用银行电汇或其他需要时间验证的付款方式要求支付这些发票。

视频通信平台开发

在这种攻击中，黑客利用视频通信平台冒充高管。例如，他们可以使用 Google Hangouts 冒充首席执行官，要求提供机密信息。

黑客还可能给员工发送电子邮件，表示他们将与财务人员进行视频通话。他们会指示员工下载一个应用程序并输入登录信息。

社会工程

社会工程学通过诱骗用户泄露密码、社会安全号码和其他敏感信息来访问敏感信息或数据。

攻击者通常会伪装成 IT 部门或企业内其他部门的人员，在正常业务操作不允许的情况下要求访问计算机或网络资源。

高管钓鱼与捕鲸

请记住，执行网络钓鱼和捕鲸都是针对高层人员的网络攻击，而 "捕鲸 "则是更专业的变种。适当的网络安全措施和员工培训是抵御这些威胁的关键。

让我们来看看行政网络钓鱼与捕鲸的区别：

方面	高管网络钓鱼	捕鲸
目标	高管网络钓鱼的目标是公司的高级管理人员。	Whaling 主要关注首席执行官和首席财务官等高层管理人员。
目标	执行网络钓鱼旨在获得未经授权的访问、窃取数据或获取登录凭证。	"捕鲸 "的目的是从高级管理人员那里获取敏感信息或资金。
攻击类型	高管网络钓鱼是一种专门诱骗高管采取行动的网络钓鱼攻击。	捕鲸是一种专门的鱼叉式网络钓鱼，目标是最有影响力的个人。
冒名顶替	在高管网络钓鱼中，攻击者假冒高级主管或同事欺骗目标。	"捕鲸 "是指假冒高级管理人员，利用他们的高级权力。
准备工作	攻击者研究目标的角色、沟通方式和相关信息是行政人员网络钓鱼的常见做法。	捕鲸者会对目标高管和公司环境进行深入研究。
电子邮件内容	行政钓鱼邮件模仿官方通信。通常会制造紧迫感或处理敏感问题。	捕鲸电子邮件包含根据目标职位和职责定制的个性化信息。
社会工程	执行型网络钓鱼利用权力动态、紧迫感或好奇心来操纵目标采取行动。	"捕鲸 "利用高级访问权限和权威来操纵目标的信任和服从。
有效载荷	在执行型网络钓鱼中，恶意链接、附件或信息请求是常见的有效载荷。	捕鲸有效载荷通常寻求机密数据、金融交易或其他有价值的资产。
影响	执行网络钓鱼的影响范围包括账户受损、数据泄露和经济损失。	捕鲸的影响可能很大，会给组织带来巨大的财务和声誉损失。
对策	针对高管网络钓鱼的对策包括员工培训、使用反钓鱼工具和警惕的电子邮件操作。	防御 "捕鲸 "涉及安全意识培训、高级威胁检测和强大的身份验证方法。
实例	高管网络钓鱼的例子包括向高管发送虚假的转账或数据共享请求。	捕鲸涉及向高层管理人员发送有针对性的电子邮件，通常带有恶意或欺骗性请求。