Search Results: BEC (20)

    黑客無孔不入,招數亦愈來愈高明,究竟本地企業能否招架得住呢?電郵安全公司 Green Radar日前發表本港首份電郵威脅指數報告,與坊間以全球數據作為基礎的報告不同,Green Radar 半年前籌劃一份針對香港電郵威脅狀況的報告,當中的數據以Green Radar 的 電郵安全監控中心 (SOC) 每日收數以百萬封電郵配合 AI 分析數據,從而得出指數(相關報道:https://bit.ly/3kjSK1a)。 GR 的電郵威脅指數 Green Radar Email Threat Index(GRETI)集中分析釣魚電郵(Phishing Email)、商務電郵詐騙(BEC)及惡意軟件(Malware)的攻擊,Green…

    研究發現,71% 企業或機構曾在過去一年遭受商業電郵詐騙攻擊 (BEC),而美國 FBI 在過去一年接獲的 19,369 求助中,計算中企業或機構的累計損失高達 18 億美元,屬 2020 年最昂貴的網絡攻擊。而要阻止 BEC,不能單靠電郵防護系統或員工,更重要是結合行政管制政策,全方位堵塞漏洞出現。 商業電郵詐騙攻擊 (Business Email Compromise) 的攻擊手法大致可分為三類,分別是假扮寄件人,或盜用帳戶進行各種詐騙手段,例如轉帳金錢、開啟釣魚網站連結或打開惡意軟件。BEC 相較一般釣魚電郵的不同之處在於它並非漁翁撒網,而是有目標地攻擊企業或機構內的職員。為了假扮成公司內的高層或員工,BEC 罪犯通常會潛伏在內部網絡或電郵系統內一段較長時間,以了解內部架構、生意夥伴的合作業務等情報,甚至偽裝目標的慣常用字,提高詐騙電郵的成功率。以涉及金錢轉帳的騙案為例,日本媒體 Nikkei…

    因為電郵所用的SMTP協議有不需確認身份的先天缺陷,所以要假冒成任何身份寄送電子郵件其實不難,而這個缺陷往往就被黑客利用及進行詐騙。 BEC 三大類 近年十分猖獗的變臉詐騙攻擊(Business Email Compromise,簡稱 BEC)所帶來的威脅實在不能低估,而攻擊手法大致分為三類: 寄件人偽裝 – 透過假冒而獲取收件人的信任,用不同的藉口來騙取企業相關資料或匯款。連結偽裝 – 以假冒寄件人的身份發出電郵,誘使收件人點擊連結。這亦稱為釣魚信件,讓收件人點選之後即會連結到外部的惡意連結,藉此取得收件人相關資料。附件偽裝 – 也是以假冒寄件人的身份發出電郵,再搭配有病毒的附件。一旦附件被下載及執行,便進行勒索或各式各樣的攻擊,來取得所需利益。 抵禦 BEC 的安全方案 除了一般的電郵安全培訓、員工意識測試、定期更換電郵帳號密碼之外;在選擇電郵安全方案時,除了防病毒、防垃圾電郵功能外, 針對以下一些抵禦 BEC…

    相信大家都收過欺詐電話,要用電話呃人,要花時間與對方溝通,但現今生活節奏急速,很多人都會 cut 你線,要成功得手,絕對唔容易。欺詐電郵就唔同,騙徒首先會對目標人物的背景有所掌握,也會精心製作電郵內容,並以冒充的身份把電郵發出,一般用戶收到這些電郵,都難以判斷真假。 傳統安全方案束手無策 事實上,電郵仍然是現今最大安全攻擊途徑。原因很簡單,發動攻擊成本不大,因為你是不能拒絕攻擊者發送電郵給你。況且傳統的電郵安全方案也好一段時間沒有技術革新,依然側重於防病毒、防垃圾電郵等功能,把懷疑有問題的 Email 隔離就了當。面對更新型的欺詐電郵攻擊,傳統的電郵安全方案缺乏技術及能力處理,可以說是有點手束手無策。 BEC 個案平均損失近百萬港元 Business Email Compromise(BEC)是近年出現的名詞,指利用欺詐電郵手法(或附有網絡釣魚攻擊)的新型威脅。 BEC攻擊者大多數會冒充公司外國供應商、老闆、公司高層、公司員工、公司律師(會計師)等… 欺詐目標大多數是公司的財務或高級管理人員,最終目的是以不同的藉口要求匯款,令公司蒙受重大金錢損失。據統計,每個案平均損失近百萬港元,這絕對是大茶飯。 期待最新技術杜絕 BEC BEC 之所以難以防止,因為它利用大眾的疏於防範的心理,讓受害者掉入社交工程(Social Engineering)陷阱。在今天高度透明的商業社會,要找出財務部門(或公司高層)的電郵地址並非難事,這也意味著一個一個精心炮製的欺詐,隨時可以用電郵發動。在「道高一尺魔高一丈」的網絡安全環境中,我們總不能單單每日叫員工提高安全意識。新一代的電郵安全系統,終於包含了BEC 防護功能,期待最新技術能把這類超級大殺傷力的欺詐電郵威脅徹底清除。

    安全意識培訓真係有用㗎!根據 IT 安全公司 F-Secure 最新發表的研究報告,有1/3由員工舉報的可疑電郵,的確內藏惡意行為,例如包含虛假網站連結、帶有惡意功能的附件。萬一有惡意電郵可以繞過防護系統進入收件箱,員工就是一條重要的防線,所以老闆們一定要做好培訓工作呀! 不少調查顯示,九成企業入侵事件是通過釣魚電郵達成,例如員工誤信電郵內容打開帶有病毒的附件,又或被引導至虛假網頁然後輸入公司帳戶資料,另外亦有員工墮入商業電郵詐騙 (BEC) 陷阱,將鉅款匯入犯罪集團的銀行帳戶,令公司帶來難以估計的損失。而 F-Secure 最新發表的報告,便著眼於員工舉報可疑電郵的準確度。 研究團隊一共分析了 20 萬封由企業員工於今年上半年舉報的可疑電郵,結果確認 33% 電郵的確帶有惡意行為。最多員工認為電郵有可疑的原因,有 60% 認為當中含有可疑的連結,其次為電郵由可疑或不明人士發送,其他如電郵內有可疑附件或疑似垃圾訊息,都是員工決定舉報的主要元素。另外,研究員又指出,如有「Warning」、「Your funds has」或「Message is…

    網絡威脅無孔不入,其中透過電郵入侵更是常見的手法,在疫情影響下,對網絡及雲端環境的依賴,令危機擴大。電郵安全公司 Green Radar 劍達(香港)有限公司發表香港首份電郵威脅指數報告,第二季指數顯示為 63 分(最高為 100 分),反映企業面臨的風險水平維持高位,當中釣魚電郵(Phishing Email)及商務電郵詐騙(BEC)處於高風險水平,惡意軟件(Malware)的威脅則處於中風險水平,企業應保持高度警覺。 Kenneth 指,商務電郵詐騙(BEC)屬新型威脅,處於高風險水平。 報告公布 2021 年第二季度首個電郵威脅指數 Green Radar Email Threat Index(GRETI),有別於一般以全球數字作基準的分析,Green Radar…

    雲端安全解決方案供應商 Barracuda 公布「Spear Phishing: Top Threats and Trends Vol. 6 」報告,探討黑客的策略及目標對象,揭示對魚叉式網絡釣魚攻擊的最新趨勢,以及為機構提供最新保護措施。報告亦發現黑客的魚叉式網絡釣魚攻擊並非只針對企業的高管,所有員工亦需隨時防備。 報告重點包括: 機構平均每年受到超過 700 次社交工程攻擊77% 的商務電子郵件入侵(BEC)攻擊針對非財務和行政職位的員工43% 黑客冒充 Microsoft 進行網絡釣魚攻擊 研究報告指出,一般員工是多種網絡攻擊的目標,黑客現時更會採用熱門的魚叉式網絡釣魚攻擊方式繞過受害者的防禦。報告亦為機構提供建議如何抵擋這類攻擊的最佳方式和技術。…

    根據雲端安全解決方案供應商 Barracuda 最新分析,在 2020 年 10 月至 2021 年 5 月期間,針對竊取比特幣的網絡釣魚(Phishing Impersonations)和商用電郵詐騙攻擊(Business Email Compromise, BEC)的攻擊激增了 192%,而過去八個月比特幣需求和價格亦呈現上漲,反映隨著比特幣價值上升,相關的攻擊也隨之而增加。分析披露,不法分子趁機利用魚叉式網路釣魚、商用電郵詐騙及勒索軟件攻擊欺騙潛在受害者。 研究發現,由於比特幣需求增加、價格估值上升以及加密貨幣持有者大幅提升,比特幣的價格在 2020 年 10 月至…

    Microsoft 專家警告,依然採用舊式驗證 (legacy authentication) 技術管理 Exchange Online 的企業,即使啟用多重因素驗證 (MFA) 服務,都有可能被黑客入侵帳戶,最近就有一宗商業電郵詐騙 (BEC) 案例,就是因為上述原因而出事…… 根據 Microsoft 的官方描述,舊式驗證指的是使用基本驗證的通訊協定,而採用相關驗證為基礎的應用程式包括舊版 Microsoft Office 應用程式及使用 POP、IMAP、SMTP 等郵件通訊協定的應用程式。由於舊式驗證無法強制執行多重因素驗證…

    公司被黑客入侵,好多時都因為員工疏忽,錯誤開啟了電郵內的惡意連結或附件,不過在怪責他們的同時,企業管理者有否反思公司提供的網絡安全訓練是否足夠?內容能否吸引同事細心閱讀?記著以下 5 個要點,才可令同事在培訓課程時專心及上心。 有調查顯示,企業被入侵的原因九成出於員工誤開釣魚電郵,而且隨著疫情下在家工作 (Work From Home) 變得普及,員工在公司以外環境下工作,防禦力自然更薄弱,因此有必要提高員工的網絡安全意識,於源頭阻截惡意攻擊。不過,有企業管理者會懷疑,明明公司已提供各種網絡安全培訓,為什麼員工就是無法上心?歸根究底,問題可能出在培訓課程之上。不妨留意以下幾點,重新審視安全培訓課程內容,才能讓課程變得有效率及有意義。 1. 內容要專 一個優質的課程,內容必須夠專及到位,必須因應行業特性安排培訓內容,而不是隨便拿取網上的網絡安全培訓樣本使用,以金融業為例,同事可能須更注意各種合規要求,貿易公司則可能面對較多商業詐騙電郵 (BEC) 攻擊,不能一概而論。 2. 真實事例 在準備培訓內容時,必須加入真實事例講解,以釣魚攻擊為例,如只告訴員工釣魚攻擊可令電腦中毒,員工未必意會到有多嚴重。應該清楚舉例說明黑客的攻擊手段,例如會引誘員工開啟惡意附件,或預先架設一個虛假網站套取帳戶登入資料,員工才會理解如何防範。 3. 簡潔說明 這點不難理解,培訓課程的時間不應太長,解說亦要簡潔到位,員工才不會因說明時間太長而失去集中力。如果能夠加入有趣的例子或互動元素,自然更容易上心。 4. 高透明度 公司引入各種網絡安全守則及工具,雖然出發點是為了公司及員工著想,但始終會引來員工疑慮,擔心公司會以安全為名,實則加強監控工作。因此企業管理者必須詳細解釋安全守則及工具的內容及會收集到哪些資料,讓員工清楚理解不會侵犯其私隱,員工才會樂於按照安全指引辦事。 5. 因人而異 每個同事對網絡安全的認知不一,因此培訓內容也要作出調校,企業管理者可安排員工接受安全測試,因應其安全意識分成不同的小組並提供合適的課程內容,這做法不單可找出高風險員工優先培訓,更不會因課程內容太深或太淺,令員工失去專注力。…