如何保护初创企业免受电子邮件诈骗的威胁

尽管多年来一直声称“电子邮件的末日”即将来临，但这种几十年前的通信方法在商界仍然蓬勃发展。尤其是在黑客行业。

一封包含看似合法但实际上恶意的链接的电子邮件仍然是网络犯罪分子手册中最危险但最成功的伎俩之一，已经导致了近年来一些最大规模的黑客攻击，包括2022年通信巨头Twilio的入侵和去年对社交媒体平台Reddit的黑客攻击。

虽然有时这些电子邮件很容易被识别出来，可能是因为拼写错误或不寻常的电子邮件地址，但由于黑客的策略变得越来越复杂，要辨别一封可疑的电子邮件和真正的电子邮件变得越来越困难。

例如，商业电子邮件欺骗（BEC）就是一种利用电子邮件进行攻击的类型，针对大大小小的组织，旨在窃取资金、重要信息或两者兼而有之。在这种类型的诈骗中，黑客会冒充或篡改受害者熟悉的人，如同事、老板或商业伙伴，以诱使他们无意中透露敏感信息。

这对企业，尤其是初创企业，构成的风险不可忽视。根据FBI最新数据，去年仅美国个人在BEC诈骗中损失了近30亿美元。而且这些攻击表现出没有放缓的迹象。

如何识别商业电子邮件欺骗诈骗

寻找警告信号

尽管网络犯罪分子在发送电子邮件的策略上变得更加先进，但有一些简单的红旗可以让您注意到并留意。这些包括在正常工作时间之外发送的电子邮件、拼写错误的姓名、发件人电子邮件地址和回复地址不匹配、不寻常的链接和附件、或没有充分理由的紧急感。

直接联系发件人

网络钓鱼利用鱼叉攻击——黑客使用个性化的钓鱼电子邮件来冒充公司内部高级主管或外部供应商，这意味着几乎不可能确定一条消息是否来自可信来源。如果一封电子邮件看起来不寻常，甚至看起来正常，也请直接联系发件人确认请求，而不是通过电子邮件或邮件中提供的任何电话号码回复。

与您的IT人员核实

技术支持诈骗变得越来越常见。2022年，Okta的客户受到一场高度复杂的诈骗攻击，攻击者向员工发送包含指向仿照雇主Okta登录页面外观和感觉的钓鱼网站链接的短信。这些登录页面看起来非常真实，以至于有超过1万人提交了他们的工作凭证。很可能，您的IT部门不会通过短信联系您，因此如果您突然收到一条随机短信或设备上出现意外弹出通知，请务必核实其是否合法。

对电话来讲要更加谨慎

多年来，黑客一直将电子邮件作为他们的首选武器。最近，犯罪分子倚重虚假电话来攻击组织。据报道，一次电话通话导致去年酒店连锁公司MGM Resorts被黑客入侵，黑客成功欺骗公司的服务台，以获得对员工帐户的访问权限。无论电话看起来是否来自看似合法的联系人，始终对意外的电话持怀疑态度，并且永远不要在电话中分享机密信息。

多因素验证万事皆通

多因素身份验证——通常需要代码、PIN码或指纹进行登录，以及您的常规用户名和密码——并不是绝对可靠的。但是，通过在容易被黑客攻击的密码之上增加额外的安全层，使黑客更难访问您的电子邮件账户。通过推出无密码技术，如硬件安全密钥和通关密钥，可以进一步提高安全性，从而防止密码和会话令牌被信息窃取恶意软件窃取。

实施更严格的付款流程

与任何类型的网络攻击一样，犯罪分子的最终目标是谋取金钱，BEC诈骗的成功往往取决于让一个员工发送汇款。一些出于金钱动机的黑客假冒供应商请求支付公司执行的服务费。为减少成为此类电子邮件诈骗的受害者的风险，可以推出严格的付款流程：制定支付批准程序、要求员工通过第二种通信媒介确认资金转账，并告知您的财务团队仔细检查每次银行账户更改的细节。

您也可以选择忽略

最后，您可以通过简单地忽略尝试并继续前进来最小化遭受大多数BEC诈骗的风险。不确定您的老板是否真的希望您购买价值500美元的礼品卡？忽略！收到了一个意外的电话？挂断电话！但基于您安全团队的考虑以及帮助您的同事，请不要保持沉默。将尝试报告给您的工作场所或IT部门，以便他们能够更加警惕。