航运业BEC攻击猖獗

Pen Test Partners研究人员发现，黑客正在利用BEC（电子邮件妥协）攻击航运业获取重要凭证，针对行业内各类雇员通过网络或者电话等形式，进行有深度的社会工程欺诈研究，甚至有可能因此破坏关键系统。

航运业因安全措施宽松成为包括BEC攻击在内的各类网络攻击的黄金目标，在这里BEC攻击行为尤为猖獗。联邦调查局的数据显示，2018年由BEC攻击造成的损失超过125亿元（其中有涉及50亿美元的骗局），是2017年的两倍多。

在许多情况下，诈骗者通过社交媒体和其他工具收集的数据，利用社会工程来模仿高层管理人员，欺骗毫无防备的受害者进行打开不明文件、向不明账户转账等各种操作。

“他们的行为动机很可能是获取非法收入，也可能是这些系统本身安防措施不足，本身很容易进入。尽管企业越来越注重网络安全，但培训员工警惕性的工作常常不如人意。”Pen Test Partners指出。

社会工程攻击

诈骗者首先收集一系列有关目标的公开信息，比如来自社交媒体页面的数据，Facebook上的个人信息（生日，位置等）和领英上的商业信息（名字、同事、业务组织结构、甚至业务上与供应商的交互方式）。

例如，如果有人公开展示了自己的会议照片，那么诈骗者就可以在电子邮件中说他们在那次会议上遇到了他们。在常见的攻击场景中，受害者的应付账款部门收到一封电子邮件，说供应商的银行账户信息发生了变化（标识是正确的，提出请求的人的名字是受害者认识的），要求更改下次的付款账户相关信息——这是个骗局。在另一种常见情况中，趁受害者在假期或者长途飞行时，利用他们在网上发现的受害者信息冒充CEO或其他高管，向财务团队发送电子邮件，要求他们进行紧急付款，当收件人试图向本人验证时却难以联系到，就可能因事态的“紧急”而及时付款。

及时发现这些攻击可能很难，因为他们经常使用不同的数据点来创建令人信服的图片，通常在对高价值目标的攻击中，发送电子邮件之前，犯罪分子会打电话给受害者。在大公司内，CEO具有非同寻常的号召力，而很多受害者甚至在接电话之前并没有见过CEO或能充分识别出声音，如此一来，他们很有可能直接“听从号令”，采取行动。

通过电子邮件附件向受害者发送恶意软件是攻击航运业系统的另一种有效方式。电子邮件的构建和制作通常看起来像是由内部发送，骗子常用的简易的方法是创建一个与官方相似的电子邮件地址，通常利用字母之间的细微差别，如'1'，'l'，以欺骗读者认为它是一个合法的电子邮件。”

由此可见，传统行业的公司要想充分实现系统安全性，不仅要在硬件和技术上提升实力，还应重视对公司各层级雇员的相关安全培训。