25日，“搜狐全體員工遭遇工資補(bǔ)助詐騙”沖上微博熱搜第一。
一份流傳網(wǎng)絡(luò)的聊天記錄顯示，搜狐全體員工在5月18日早晨收到一封來(lái)自“搜狐財(cái)務(wù)部”名為《5月份員工工資補(bǔ)助通知》的郵件。聊天記錄稱，不少員工受騙，工資卡余額被劃走。據(jù)記者向多位搜狐內(nèi)部員工確認(rèn)，確實(shí)收到了上述詐騙郵件。
當(dāng)天，搜狐通過(guò)官方微博回應(yīng)稱，經(jīng)調(diào)查，某員工使用郵件時(shí)被意外釣魚(yú)導(dǎo)致密碼泄露，進(jìn)而被冒充財(cái)務(wù)部盜發(fā)郵件。事發(fā)后，公司IT及安全部門(mén)第一時(shí)間做了緊急處理，并向公安機(jī)關(guān)報(bào)案。據(jù)統(tǒng)計(jì)，共有24名員工被騙取4萬(wàn)余元人民幣。
記者采訪多位業(yè)內(nèi)專家發(fā)現(xiàn)，類似的“工資補(bǔ)貼”郵件是一種常見(jiàn)的釣魚(yú)詐騙，操作起來(lái)幾乎沒(méi)有技術(shù)難度。另外，在電商平臺(tái)上也能輕易購(gòu)買(mǎi)到此類服務(wù)，盜用他人信息發(fā)送虛假郵件，已成為一條隱蔽的黑灰產(chǎn)業(yè)鏈。
一封郵件如何大肆“釣魚(yú)”
25日中午，搜狐CEO張朝陽(yáng)第一時(shí)間發(fā)微博回應(yīng)“員工遭詐騙”事件。
他提到，背后原因是搜狐某員工的內(nèi)部郵箱密碼被盜，盜賊冒充財(cái)務(wù)部發(fā)信給員工。另外，此次發(fā)送詐騙郵件的不涉及對(duì)公共服務(wù)的個(gè)人郵箱。
記者發(fā)現(xiàn)，類似以“工資補(bǔ)貼”為由頭的詐騙郵件在企業(yè)內(nèi)部并不罕見(jiàn)。今年2月份，B站也曾流傳出“詐騙郵件”的截圖。知情人士向記者透露，該郵件通過(guò)群發(fā)形式傳播到全體員工，多位員工受騙，總計(jì)受騙金額數(shù)萬(wàn)元。網(wǎng)絡(luò)流傳截圖顯示，東風(fēng)汽車、美的、芒果傳媒等公司紛紛“中槍”，都有員工反映稱收到假冒公司官方的釣魚(yú)詐騙郵件。
不少網(wǎng)友疑惑，搜狐作為提供郵箱服務(wù)的專業(yè)企業(yè)，為何也會(huì)遇到群發(fā)“釣魚(yú)”郵件的詐騙事件？
奇安信行業(yè)安全研究中心主任裴智勇表示，郵件攻擊，是針對(duì)企業(yè)最簡(jiǎn)單但也最有效、最具迷惑性的攻擊方法。據(jù)他推測(cè)，搜狐的案例很有可能是一起典型的OA釣魚(yú)攻擊事件。
“通常情況下，這種攻擊的過(guò)程大致是這樣的：攻擊者首先盜取或惡意注冊(cè)了一個(gè)公司內(nèi)部郵箱，之后再用這個(gè)郵箱發(fā)郵件給其他員工，誘騙其在釣魚(yú)網(wǎng)站（仿冒的公司郵件登錄頁(yè)面）上輸入賬號(hào)和密碼，從而騙取郵箱密碼。攻擊者盜取內(nèi)部郵箱賬號(hào)的過(guò)程，很有可能也是通過(guò)另一封釣魚(yú)郵件完成的�！迸嶂怯抡f(shuō)。
那么，這類郵件在公司內(nèi)部群發(fā)時(shí)，有沒(méi)有可能被安全系統(tǒng)過(guò)濾掉？
裴智勇介紹，電子郵件本身是一個(gè)攻擊成本低，但防護(hù)有難度的互聯(lián)網(wǎng)服務(wù)。攻擊者只需要知道內(nèi)部員工的郵箱地址，就可以通過(guò)任意一個(gè)電子郵箱發(fā)送釣魚(yú)或帶毒郵件給受害者，而不需要了解企業(yè)的網(wǎng)絡(luò)結(jié)構(gòu)或內(nèi)部系統(tǒng)。正是由于電子郵件系統(tǒng)的這一特點(diǎn)，很多網(wǎng)絡(luò)戰(zhàn)組織、黑產(chǎn)團(tuán)伙，都會(huì)首選電子郵箱作為發(fā)起攻擊的起點(diǎn)。
花800元可任意更改發(fā)件人
“釣魚(yú)郵件”存在已久，并非新型詐騙形式。雖然員工受騙是通過(guò)釣魚(yú)網(wǎng)站，但是博得其信任的關(guān)鍵在于郵箱后綴名來(lái)源于公司，這又是如何做到的？
記者了解到，有許多方式可以實(shí)現(xiàn)換郵箱的效果，其中較常用的是使用郵件代理。裴智勇介紹，所謂的郵件代理指的是軟件先把郵件截下來(lái)發(fā)送到某個(gè)受控郵箱，再由受控郵箱把郵件正文截下來(lái)，之后把郵件轉(zhuǎn)發(fā)給原定的收件人。這樣，收件人看到的發(fā)件人就是代理郵箱或中轉(zhuǎn)郵箱發(fā)出的郵件，而不是原始郵箱，從而使原始的發(fā)件郵箱被隱藏。
“通過(guò)偽造發(fā)件協(xié)議和更改傳輸信息，可以輕易更改郵箱地址，從而實(shí)現(xiàn)從任意一個(gè)地址發(fā)送郵件�！鼻育埍硎�。至于背后的原理，可以形象類比為寄快遞，目前國(guó)內(nèi)大部分郵箱系統(tǒng)均無(wú)法正確識(shí)別發(fā)信人偽造攻擊�！疤顚�(xiě)寄件單的時(shí)候，一般快遞員更關(guān)注收件信息，不會(huì)對(duì)寄件人信息進(jìn)行充分核查，這就意味著寄件人信息有充分的造假空間�！�
類似的郵件代理服務(wù)，已在電商平臺(tái)上形成隱蔽的黑灰產(chǎn)業(yè)鏈。記者以“修改郵箱發(fā)件人”“虛擬郵箱”“改地址”等關(guān)鍵詞在各大電商平臺(tái)搜索發(fā)現(xiàn)，偽造郵件發(fā)送地址的服務(wù)可以輕易購(gòu)買(mǎi)。一位商家向記者表示，無(wú)論是發(fā)件地址、時(shí)間還是發(fā)件人名稱均可修改，價(jià)格約為800元/封，如果添加附件，還需要200元的服務(wù)費(fèi)。
“800元，這么貴？”當(dāng)記者詢問(wèn)時(shí)，商家回應(yīng)：“用別人郵箱發(fā)，你自己想想，800貴嗎？”
另一位業(yè)內(nèi)人士向記者展示，只需要購(gòu)買(mǎi)相應(yīng)服務(wù)器，就可以實(shí)現(xiàn)任意郵件地址發(fā)送電子郵件。頁(yè)面中特別標(biāo)注：“如果您使用本工具發(fā)送任何違反法律法規(guī)郵件，與本站無(wú)關(guān)。”
多地發(fā)布相關(guān)提示超50條
要徹底清除被“釣魚(yú)”風(fēng)險(xiǎn)，除了企業(yè)要提升風(fēng)控能力外，員工個(gè)人也要加強(qiáng)安全風(fēng)險(xiǎn)意識(shí)。 “實(shí)際上，我們默認(rèn)黑客是可以輕易獲取某個(gè)人的個(gè)人密碼和登錄信息的�！彬v訊安全專家李鐵軍告訴記者�！耙�?yàn)槿藗兘?jīng)常使用一個(gè)密碼用于多種場(chǎng)景，因此一旦其中部分密碼泄露，意味著所有密碼都泄露了，破解難度并不高。”
李鐵軍認(rèn)為，員工平時(shí)應(yīng)該盡量不要使用過(guò)于簡(jiǎn)單的密碼，也不要用同一密碼應(yīng)用不同場(chǎng)景�！斑@個(gè)案例只是手機(jī)掃碼后訪問(wèn)了一個(gè)釣魚(yú)網(wǎng)站，影響相對(duì)較小。更嚴(yán)重的是，打開(kāi)網(wǎng)站時(shí)公司內(nèi)部系統(tǒng)可能會(huì)自動(dòng)安裝后門(mén)程序，釋放病毒，導(dǎo)致整個(gè)內(nèi)部網(wǎng)絡(luò)癱瘓，后續(xù)影響可能更為不堪設(shè)想�！�
盡管釣魚(yú)郵件并不鮮見(jiàn)，但是記者觀察到，疫情以來(lái)，隨著居家辦公頻率增高，類似的詐騙案件有增多趨勢(shì)。多地公安機(jī)關(guān)、反詐中心也關(guān)注到此事，并給出提示。據(jù)記者搜索官方微博、微信等平臺(tái)進(jìn)行不完全統(tǒng)計(jì)，今年以來(lái)，包括吉林、內(nèi)蒙古、青海、河南、江蘇、浙江、上海、福建、廣東等省市的近百家公安機(jī)關(guān)和反詐中心都曾通過(guò)微信、微博等平臺(tái)發(fā)出過(guò)警惕“補(bǔ)貼騙局”的公告，數(shù)量超過(guò)50條。
今年2月24日，江蘇省公安廳在官網(wǎng)轉(zhuǎn)載了南京市公安局的安全防范提示，其中特別解析“領(lǐng)取補(bǔ)貼”為名的詐騙郵件的套路：犯罪嫌疑人先以技術(shù)手段攻破企業(yè)郵箱，后以人事、財(cái)務(wù)部門(mén)名義發(fā)送假通知，誘導(dǎo)員工填入身份證號(hào)、銀行卡號(hào)、預(yù)留手機(jī)號(hào)、卡內(nèi)余額等信息。緊接著，嫌疑人根據(jù)銀行卡余額確定詐騙的“目標(biāo)金額”，迅速網(wǎng)購(gòu)便于變現(xiàn)的充值卡等虛擬物品，并再次套取銀行發(fā)送的付款短信驗(yàn)證碼，從而實(shí)現(xiàn)盜刷。
全國(guó)多地反詐中心都給出了相近的四點(diǎn)提示：仔細(xì)甄別信息真假；通過(guò)官方途徑了解相關(guān)信息；96110（反詐專線）來(lái)電請(qǐng)立即接聽(tīng)，要下載安裝國(guó)家反詐中心App。國(guó)家反詐中心也將反詐總結(jié)成為“三不一多”原則口訣：未知鏈接不點(diǎn)擊，陌生電話不輕信，個(gè)人信息不透露，轉(zhuǎn)賬匯款多核實(shí)。
此外，除公安機(jī)關(guān)與反詐中心外，今年以來(lái)全國(guó)多地的法院檢察院、人社部門(mén)、銀保監(jiān)部門(mén)、多家銀行以及高等院校和研究機(jī)構(gòu)也都曾發(fā)布關(guān)于釣魚(yú)郵件的詐騙防范提示。3月15日，人力資源和社會(huì)保障部在官方微信辟謠了“2022補(bǔ)貼”，并提示公眾別被詐騙信息忽悠了。
| 
