<mark id="oztn4"></mark>
0
| 本文作者： 史中 | 2017-02-07 10:49 |
福利：關(guān)注雷鋒網(wǎng)“宅客頻道”公眾號(hào)（微信搜索：宅客頻道），回復(fù)“郵件報(bào)告”可以查看《2016中國(guó)企業(yè)郵箱安全性研究報(bào)告》全文。
你還在郵箱上使用初戀時(shí)就在用的密碼嗎？
你的郵箱密碼和其他平臺(tái)的登錄密碼一樣嗎？
你有沒(méi)有毫不猶豫地點(diǎn)擊過(guò)郵件里的鏈接呢？
你的郵箱密碼是不是簡(jiǎn)單到一年級(jí)小朋友的知識(shí)量就能猜透？
如果你對(duì)以上任何一個(gè)問(wèn)題的答案是“Yes”，那么你極有可能已經(jīng)成為郵箱被泄露的一員了。如果你恰好是個(gè)名人，或者是企業(yè)的管理層，那么郵箱泄露可能導(dǎo)致的結(jié)果會(huì)超乎你的想象。
最近，360 互聯(lián)網(wǎng)安全中心對(duì)外發(fā)布預(yù)警：郵箱泄露將會(huì)成為2017年最嚴(yán)重的威脅。
雖說(shuō)郵箱幾乎和互聯(lián)網(wǎng)同時(shí)誕生，是互聯(lián)網(wǎng)上的老干部了。但是有很多證據(jù)表明，這個(gè)老干部遇到了新問(wèn)題。黑客有一萬(wàn)種方法黑掉一個(gè)郵箱。而以這個(gè)郵箱為入口，黑客可以掌握你的一切。
裴智勇博士是一位來(lái)自 360 的安全專家，他覺(jué)得一般的教訓(xùn)很難讓人們重視郵箱安全，所以為雷鋒網(wǎng)宅客頻道列舉了一系列因?yàn)猷]箱泄露而引發(fā)的“慘案”。
每個(gè)慘案背后，都揭示了一個(gè)血淋淋的教訓(xùn)。
貝克漢姆被稱為這個(gè)世界上高、富、帥集成度最高的人。這個(gè)公眾眼中勤奮刻苦熱衷慈善樂(lè)善好施的好丈夫好父親是為數(shù)不多的正能量范本。
不巧，他的郵箱密碼被黑客拿到了。英國(guó)人對(duì)郵箱的依賴程度很高，很多私人的談話都會(huì)通過(guò)郵件發(fā)送。
在給友人發(fā)的私人郵件里，貝克漢姆解放了自己：郵件里不僅有他的私生活記錄，還有他不經(jīng)意間吐槽挖苦其他明星的文字。最要命的是，人們發(fā)現(xiàn)他熱衷于慈善的原因，居然是覬覦“爵士”的頭銜。
看看小貝都說(shuō)了神馬吧：
得知自己和爵士頭銜擦肩而過(guò)時(shí)，小貝寫了一封很憤怒的郵件，表示不滿意這個(gè)結(jié)果，說(shuō)提名他獲勛章的委員會(huì)老大是“毫無(wú)欣賞力的傻X （unappreciative c****）
在一封給他公關(guān)經(jīng)理Simon Oliveira的郵件中抱怨道：“Katherine Jenkins拿OBE（官佐勛章）？憑啥？她只會(huì)在英式橄欖球比賽上唱唱歌，慰問(wèn)一下軍隊(duì)，還吸毒嗑藥，這尼瑪就是個(gè)笑話！”
小貝甚至還對(duì)他平日里極力討好的委員會(huì)爆粗：“他們就是一群婊，我說(shuō)的沒(méi)錯(cuò)！這些榮譽(yù)到底誰(shuí)說(shuō)了算？這真尼瑪丟人，如果我是美國(guó)人，十年前我就拿到這個(gè)了！”
對(duì)于慈善基金，小貝在私人郵件里寫道：“把幾百萬(wàn)投到慈善基金，就像把我自己的錢給出去一樣。如果沒(méi)有基金，那錢本該是我的。這尼瑪可是我自己的錢！”
郵箱泄露讓全世界認(rèn)識(shí)了一個(gè)真的貝克漢姆。雖說(shuō)貝克漢姆已報(bào)警，辯稱有人改動(dòng)了他的郵件，但目測(cè)然并卵。
先不談黑客如何黑進(jìn)他的郵箱，單單郵件泄露這一件事，就是貝克漢姆不能承受之重。因?yàn)椋瓦B你自己都忘記說(shuō)過(guò)了什么，但是郵件卻幫你準(zhǔn)確無(wú)誤地記錄著。人非圣賢，誰(shuí)都會(huì)有搬不上臺(tái)面的算計(jì)。而這些黑材料永遠(yuǎn)是埋在你身邊的定時(shí)炸彈。
這件事，是細(xì)思極恐的。你的聊天記錄其實(shí)就是你的“黑歷史”。試想如果你的微信記錄被黑客公布于天下，也許就連最好的朋友看到你背地里如何議論他，都要和你絕交。
不過(guò)，根據(jù)裴智勇的調(diào)查，名人郵箱泄露雖然畫風(fēng)慘烈，但卻不是郵箱泄露的重點(diǎn)。在所有的郵件攻擊中，針對(duì)名人的只占2%的比例，而排名前三的分別為：大中企業(yè) 35%、高等教育機(jī)構(gòu)30%、政府機(jī)構(gòu)22%。
【郵箱攻擊中，各個(gè)目標(biāo)占比】
這么說(shuō)來(lái)，企業(yè)和政府機(jī)構(gòu)才是黑客們的主要“獵物”。這并不難理解，因?yàn)檎魏徒?jīng)濟(jì)往往對(duì)這個(gè)世界的影響更大，而黑客們往往也想“干一票大的”。
2016年，黑客們真的干過(guò)一票大的——黑掉了民主黨競(jìng)選總部郵箱。這件事情對(duì)世界造成的改變已經(jīng)不能用金錢來(lái)衡量了。大批外泄的競(jìng)選郵件顯示，希拉里表面上溫順和善，背地里正準(zhǔn)備給競(jìng)爭(zhēng)對(duì)手按個(gè)放血。
那么，究竟希拉里的郵件是怎樣被泄露的呢？
說(shuō)來(lái)非常簡(jiǎn)單，黑客偽裝成 Google 的官方客服，給競(jìng)選團(tuán)隊(duì)成員威廉·萊因哈特（William Rinehart）發(fā)了一封釣魚郵件。郵件內(nèi)容也很簡(jiǎn)單：
有人已經(jīng)破解了你的郵箱密碼，請(qǐng)盡快登錄修改。
就這樣，黑客不費(fèi)吹灰之力就拿到了團(tuán)隊(duì)核心成員的郵箱密碼，進(jìn)而利用這個(gè)郵箱在郵件系統(tǒng)內(nèi)部擴(kuò)大攻擊，最終完全控制了郵件服務(wù)器。
民主黨的精選團(tuán)隊(duì)，智商應(yīng)該是超群的。然而就是這樣一群人精卻被簡(jiǎn)單的把戲忽悠得團(tuán)團(tuán)轉(zhuǎn)。問(wèn)題在于，這些人缺乏基礎(chǔ)的郵箱安全意識(shí)。
而在釣魚郵件方面，黑客們可是用盡了自己的智慧。
你現(xiàn)在回想一下，自己有沒(méi)有收到過(guò)郵箱服務(wù)商或者管理員發(fā)來(lái)的“官方郵件”，提示你安全性升級(jí)，或者郵箱擴(kuò)容，或者郵箱遷移。這些郵件非常逼真，有的還帶上了逼真的 LOGO，但無(wú)一例外它們都需要你進(jìn)行密碼登錄驗(yàn)證。而一旦你輸入了密碼，就等于把自己的郵箱拱手讓人。
【偽裝成各種姿勢(shì)的針對(duì)企業(yè)員工的釣魚郵件】
如果黑客的僅僅停留在郵件系統(tǒng)，不那么容易引起直接的資金損失。但黑客絕不會(huì)老老實(shí)實(shí)呆在原地。
有人會(huì)覺(jué)得在中國(guó)郵箱并不太流行。艾瑞咨詢做了一個(gè)調(diào)查，結(jié)論是中國(guó)人使用的企業(yè)郵箱服務(wù)正在劇烈增長(zhǎng)。2009年使用外包企業(yè)郵箱的用戶只有1275萬(wàn)家，而預(yù)計(jì)2017年，這個(gè)數(shù)字是1.35億。
越來(lái)越多的人使用企業(yè)郵箱，而人們對(duì)于郵箱安全的概念幾乎為零，這使得郵箱成為了一個(gè)絕好的進(jìn)攻跳板。
這里有一個(gè)血淋淋的中國(guó)案例。
一個(gè)大型國(guó)企的財(cái)務(wù)人員收到經(jīng)理的郵件，示意他應(yīng)該給 A 公司結(jié)款，財(cái)務(wù)人員經(jīng)過(guò)審核發(fā)現(xiàn)，確實(shí)到了結(jié)款的時(shí)間，就通過(guò)財(cái)務(wù)系統(tǒng)把錢轉(zhuǎn)給了“A 公司”。
然而，過(guò)了幾個(gè)月，真正的 A 公司找到這家企業(yè)，要求結(jié)款。這時(shí)公司才發(fā)現(xiàn)，原來(lái)之前的幾百萬(wàn)根本沒(méi)有匯進(jìn) A 公司的賬戶，而是進(jìn)了黑客的腰包。
這里有一些難以理解的問(wèn)題：企業(yè)資源系統(tǒng)（ERP）和辦公系統(tǒng)（OA）是相互獨(dú)立的，企業(yè)資源系統(tǒng)不和互聯(lián)網(wǎng)連接，而辦公系統(tǒng)和互聯(lián)網(wǎng)連接。如此推斷，黑客應(yīng)該無(wú)法接觸到財(cái)務(wù)系統(tǒng)。
經(jīng)過(guò)調(diào)查，故事的秘密在于：黑客利用釣魚郵件攻擊了總經(jīng)理的辦公系統(tǒng)，而總經(jīng)理用于登錄辦公系統(tǒng)和企業(yè)資源系統(tǒng)的密碼是相同的，于是黑客順利跳入了財(cái)務(wù)系統(tǒng)，不僅偽造總經(jīng)理向財(cái)務(wù)發(fā)指示，還在財(cái)務(wù)系統(tǒng)里直接更改了收款企業(yè)的賬號(hào)。
【黑客入侵財(cái)務(wù)系統(tǒng)示意圖】
由此可見(jiàn)，雖然郵箱本身泄露也許并不能造成經(jīng)濟(jì)損失，但是鑒于郵箱系統(tǒng)和其他系統(tǒng)千絲萬(wàn)縷的聯(lián)系，黑客幾乎總能找到一種方法滲透到你的核心網(wǎng)絡(luò)，取你的身家性命。
如果這家中國(guó)企業(yè)被騙了幾百萬(wàn)，看客們還覺(jué)得不夠刺激，那么請(qǐng)看下面這個(gè)故事。
2016年初，專為波音公司生產(chǎn)零部件的航天零部件公司 FACC 遭到了黑客攻擊。
黑客的突破口恰恰也是公司內(nèi)部的辦公郵件系統(tǒng)。他們先是利用釣魚郵件搞定了公司重要人員的企業(yè)郵箱，然后入侵了財(cái)務(wù)會(huì)計(jì)系統(tǒng)，接下來(lái)毫不猶豫地從賬面上轉(zhuǎn)走了 5000 萬(wàn)歐元。
五千萬(wàn)歐元，體會(huì)一下這個(gè)數(shù)字有多大。
【幫你體會(huì)五千萬(wàn)歐元有多少的圖片】
僅僅因?yàn)楦吖苁侄叮c(diǎn)了一封釣魚郵件，就讓公司的股價(jià)當(dāng)天直接跳水 17%，不用說(shuō)，公司的首席執(zhí)行官和首席財(cái)務(wù)官都因?yàn)檫@件事而引咎辭職。
另外值得一提的是，F(xiàn)ACC 這個(gè)公司并不像聽(tīng)起來(lái)那樣離我們很遙遠(yuǎn)，雖然它地處奧地利，但是它的股份被中航工業(yè)收購(gòu)。實(shí)際上，它算是一家中國(guó)公司。
理論上來(lái)說(shuō)，黑客能夠把錢轉(zhuǎn)走，意味著他們已經(jīng)對(duì)公司的系統(tǒng)實(shí)現(xiàn)了全面的控制，他們同樣可以看到機(jī)密的圖紙、商業(yè)計(jì)劃。這些隱性損失是沒(méi)有辦法計(jì)量的。
相比之下，個(gè)人郵箱泄露導(dǎo)致的電信詐騙損失金額，都算是九牛一毛了。這也是為什么黑客喜歡對(duì)企業(yè)用戶下手的原因。
一個(gè)中國(guó)企業(yè)的網(wǎng)絡(luò)管理員曾經(jīng)做過(guò)測(cè)試，向內(nèi)網(wǎng)中30000名員工發(fā)送郵件，內(nèi)容非常簡(jiǎn)單：
我是管理員，我需要你的賬號(hào)和密碼。
結(jié)果，有600多名員工不問(wèn)青紅皂白就直接把密碼發(fā)來(lái)，這其中包括副總裁，秘書，高級(jí)總監(jiān)。雷鋒網(wǎng)感到了滿滿的信任。。。可想而知，如果這個(gè)郵件是黑客發(fā)的釣魚郵件，企業(yè)將會(huì)淪陷。
然而，很多企業(yè)連這個(gè)水準(zhǔn)都沒(méi)有達(dá)到。因?yàn)閷?duì)于企業(yè)郵箱，員工一般會(huì)使用比較簡(jiǎn)單的密碼，也就是“123456”這類弱密碼。
【十大弱密碼】
根據(jù) 360 發(fā)布的報(bào)告，攻擊者只需要掌握十個(gè)最常用的密碼，就能用它們打開(kāi)全國(guó)十分之一的企業(yè)郵箱。而很多企業(yè)并沒(méi)有對(duì)密碼嘗試次數(shù)做基本的限制，也就是說(shuō)黑客可以在一天時(shí)間內(nèi)用成百上千的密碼來(lái)嘗試登錄你的郵箱，直到成功為止。
對(duì)于企業(yè) CEO 來(lái)說(shuō)，就算他能呼風(fēng)喚雨，也很難讓手下的所有員工使用用數(shù)字字母混排的強(qiáng)密碼。就算使用了強(qiáng)密碼，也很難保證員工這些通用的密碼不會(huì)在其他的電商、交友平臺(tái)被泄露。
正是這些看上去無(wú)傷大雅的密碼習(xí)慣，讓員工把企業(yè)推到了作死的地步。
事實(shí)上，鑒于企業(yè)郵件安全漏洞百出，很多企業(yè)郵箱已經(jīng)被黑客“常駐”，但所有的人都不知情。
某國(guó)內(nèi)知名的金融企業(yè)，2015年4月的一個(gè)晚上突然有 200 多個(gè)企業(yè)郵箱在異地登錄，向外發(fā)送了大量的賭博和發(fā)票的垃圾郵件。雖然經(jīng)過(guò)緊急處置，但還是有170封被成功發(fā)出了。
這對(duì)于金融企業(yè)的聲譽(yù)來(lái)說(shuō)，簡(jiǎn)直是巨大的打擊。
然而，就在這件事情平息四天后，黑客故伎重演，又對(duì)外發(fā)送了一百多封賭博廣告郵件。
經(jīng)過(guò)溯源，安全研究員發(fā)現(xiàn)，其實(shí)黑客早在半年前就通過(guò)木馬和釣魚郵件控制了企業(yè)郵箱系統(tǒng)。經(jīng)過(guò)長(zhǎng)期的盤踞“經(jīng)營(yíng)”，黑客已經(jīng)安插了很多方便自己出入的后門。這個(gè)黑客組織不僅僅針對(duì)一家企業(yè)，而是對(duì)眾多國(guó)有企業(yè)進(jìn)行釣魚攻擊。最終發(fā)現(xiàn)至少29家企事業(yè)單位的郵件服務(wù)系統(tǒng)被攻陷，涉及帳號(hào)數(shù)千個(gè)。
【被某黑客組織“拿下”的企業(yè)各行業(yè)占比】
根據(jù)專家的介紹，類似于希拉里郵件門的事件，在中國(guó)也曾經(jīng)發(fā)生過(guò)：某重要部委的郵箱系統(tǒng)長(zhǎng)期被美國(guó)方向的黑客控制，幸好最終被安全人員發(fā)現(xiàn)，否則將會(huì)造成更大的損失。
2016年初，美國(guó)最大的有線電視公司時(shí)代華納突然被爆出32萬(wàn)用戶郵箱泄露。這件事情的蹊蹺之處在于：時(shí)代華納并不認(rèn)為自己的服務(wù)器存在漏洞。
所以，專家推測(cè)這些數(shù)據(jù)有可能是從和時(shí)代華納有合作的第三方公司泄露的。
黑客拿到用戶的郵箱以后，可以進(jìn)行有針對(duì)性的欺詐，甚至用這些郵箱密碼組合嘗試登錄其他服務(wù)。
讓人震驚的郵件攻擊此起彼伏。
2016年7月，日本旅游業(yè)巨頭 JTB 旅行社被黑客入侵。官方聲稱攻擊的來(lái)源是一次有針對(duì)性的電子郵件釣魚行動(dòng)：一位公司的員工打開(kāi)了一個(gè)全日空公司的旅行預(yù)定要求。這個(gè)看起來(lái)很正常的郵件，附帶了一種 Word 文檔，其中被植入了名為“PlugX”的極其隱蔽的木馬。從這個(gè)附件開(kāi)始，黑客的觸角逐步滲透到公司的數(shù)據(jù)服務(wù)器。
這次泄露，導(dǎo)致黑客竊取了公司 793 萬(wàn)條護(hù)照、家庭住址和電子郵箱地址信息。
這些泄露事件說(shuō)明一個(gè)讓人絕望的事實(shí)，那就是即使作為個(gè)人很好地保護(hù)了自己的密碼，也難免被服務(wù)商這樣的“豬隊(duì)友”出賣。
事實(shí)上，說(shuō)到郵件防護(hù)水平，全球都很差，但中國(guó)尤其差。
根據(jù) 360 互聯(lián)網(wǎng)安全中心的預(yù)測(cè)，2017年中國(guó)郵箱安全事件會(huì)大規(guī)模爆發(fā)，以下是預(yù)測(cè)數(shù)據(jù)：
郵箱盜號(hào)，影響企業(yè)600萬(wàn)+，50%的企業(yè)都會(huì)遭遇郵箱盜號(hào)攻擊
機(jī)密信息竊取，影響企業(yè)10萬(wàn)+，多數(shù)情況下企業(yè)是不知情的
利用郵箱盜號(hào)進(jìn)行的商業(yè)欺詐，經(jīng)濟(jì)損失 50億RMB+
利用郵箱傳播敲詐者病毒造成的經(jīng)濟(jì)損失 2億RMB+
看來(lái)，郵箱泄露有一萬(wàn)種姿勢(shì)。難道我們束手無(wú)策嗎？裴智勇博士認(rèn)為，在企業(yè)郵箱里推廣雙因子認(rèn)證，是目前來(lái)看有效的辦法。
所謂雙因子認(rèn)證，簡(jiǎn)單來(lái)說(shuō)就是除了密碼之外，再加入額外的一個(gè)認(rèn)證因素。這個(gè)認(rèn)證因素可以是手機(jī)短信，也可以是 App 上的動(dòng)態(tài)密碼口令。
這種情況下， 即使密碼發(fā)生了泄露，黑客也無(wú)法輕易地登錄受害者郵箱。根據(jù)這個(gè)思路，360 也開(kāi)發(fā)出了一套企業(yè)郵箱安全產(chǎn)品。如果你是一位重視企業(yè)郵箱安全的 CEO，也許愿意嘗試一下。
附：關(guān)注雷鋒網(wǎng)“宅客頻道”公眾號(hào)（微信搜索：宅客頻道），回復(fù)“郵件報(bào)告”可以查看《2016中國(guó)企業(yè)郵箱安全性研究報(bào)告》全文。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見(jiàn)轉(zhuǎn)載須知。
