来源：中国消费者报
5月25日
“搜狐全体员工遭遇工资补助诈骗”
冲上微博热搜
一份网传聊天记录显示，搜狐全体员工在5月18日早晨收到一封来自“搜狐财务部”名为《5月份员工工资补助通知》的邮件。根据该邮件提供的操作流程，大量员工按照附件扫码，并填写了银行账号等信息，可最终不但没有等到所谓的补助，工资卡内的余额也被划走。5月25日，搜狐创始人、董事局主席兼首席执行官张朝阳在社交平台发文确认了这一传闻，并表示受损金额不是很大。
专家称
这种“钓鱼”诈骗形式并不少见
员工邮件是如何被获取的？
“钓鱼”邮件诈骗是如何实现的？
企业邮箱的安全性如何保证？
《中国消费者报》记者对此
进行了深入调查
员工因何被骗？
“我们公司曾经做过一个类似的‘钓鱼’邮件演习，有不少同事当真了。”同盾科技有限公司市场部的项茜雯对《中国消费者报》记者说。据记者了解，类似同盾科技这样的网络安全专业公司，日常都会进行各种网络安全演练。
▲项茜雯发给记者的公司邮件截图显示，该公司安全部门以端午节抽奖为由发送钓鱼邮件。据搜狐内部员工透露，之所以会上当，一是因为日常很多报销项目都是网络上进行的，二是收到的钓鱼邮件后缀是搜狐域名，这样自然会以为是公司财务发的。
5月25日下午，搜狐在微博发布声明称，5月18日凌晨，搜狐部分员工邮箱收到诈骗邮件。经调查，实为某员工使用邮件时被意外“钓鱼”导致密码泄露，进而被不法分子冒充财务部盗发邮件。
“邮件攻击是针对企业最具迷惑性的攻击方法。”奇安信行业安全研究中心主任裴智勇对《中国消费者报》记者说。
钓鱼邮件为何能用公司域名？
“实现用公司域名发送有两种常规手段。”小盾安全技术专家狴犴告诉《中国消费者报》记者：
一是攻击者通过社会工程学破解获取公司内部邮箱，例如攻击者掌握相关企业邮箱系统的管理缺陷或安全漏洞，安插病毒获取数据；部分废弃公共邮箱未正常回收，被不法分子利用（已离职的员工或者员工邮箱账号密码泄露）；邮箱管理员账号泄露（被钓鱼或其他情况）；内部员工与外部攻击者勾结（利益分成）。
二是攻击者伪造公司域名，通过技术手段，将发件人的域名包装得与内部域名一样或相似。”
员工的邮件地址又是如何被获取的呢？
中国人民公安大学侦查学院副教授王晓伟对《中国消费者报》记者说，“这种骗术很常见，可能就是内部员工邮箱被盗，尤其是财务人员的手机有时候无意间中了木马，导致邮箱或相关账户泄露，不法分子通过内部邮件系统给员工发带有链接的邮件。”
据王晓伟介绍，还有一种情况是骗子先潜入一些内部群，或者是用一些域名相近的邮箱给某个公司或员工发有链接的钓鱼信息，诱导员工一步一步地操作。“这种情况比较多，类似常见的ETC失效之类的操作模式，覆盖面也比较大，不法分子就博一个概率。”他说。
据狴犴介绍，获取员工的邮件地址有几个途径：
攻击者根据公司对外留下的邮箱格式进行枚举猜测；
离职人员或内部员工泄露；
攻击者成功攻击邮件系统后台后获取。
互联网公司为何也会被钓鱼？
“互联网企业一般都会部署邮件安全系统或邮件威胁识别系统。”裴智勇说，“‘搜狐事件’关联企业本身也是国内领先的邮件服务商，此类系统肯定也是健全的。只不过钓鱼邮件本身确实很难识别，难免会有漏网之鱼。”
裴智勇表示，类似的成功攻击事件实际上经常发生。每年被盗的各类邮箱账号数以百万计，都是安全管理疏忽的表现。而员工被钓鱼邮件所骗，也是自身安全防范意识不足的体现。“仅就目前能够看到的信息来说，这次事件很可能是非常典型的OA钓鱼攻击与网络诈骗攻击相结合的连环网络攻击事件。”他说，也可能是企业有内鬼。
裴智勇解释道，现在，大型邮件服务商都设置了很多安全机制，比如，收件系统可以向发件系统发出验证信息，以确认邮箱或邮件来源是否可信。不过很多企业都出于各种原因，没有开启类似的校验功能。“但邮件报文明文传输的本质，是其容易被篡改的根本原因。”
“使用邮件代理也可以产生这样的效果。”裴智勇说，“软件会先把邮件截下来发送到某个受控邮箱，再由受控邮箱把邮件正文截下来，之后把邮件转发给原定的收件人。这样，收件人看到的发件人就是代理邮箱或中转邮箱发出的邮件，而不是原始邮件。”
如何防范企业邮箱钓鱼风险？
针对企业邮箱安全性保障有两个建议，狴犴表示：
一是邮箱服务端的安全性保障，如企业增加服务端的邮件网关等安全防护，加强邮箱安全策略的实施；
二是邮箱客户端的安全性保障，如增加邮箱多因素认证、专有密码的使用落实。企业内部也可以多举办安全培训与钓鱼演戏等活动，提高大家安全意识。
针对员工注意事项，狴犴建议：
严格按管理员要求强化自己邮箱密码，尽量采用多因素认证以及强密码策略。
针对有诱惑性内容的邮件，一定要多个心眼，可以通过仔细核对发件人地址、及时与发件人核实等方式二次确认，警惕不明邮件的链接或附件，以免落入诈骗圈套。
“掌”握科技鲜闻 （微信搜索techsina或扫描左侧二维码关注）
