美国联邦调查局（FBI）近日发布报告指出，商业电子邮件攻击（Business Email Compromise，简称 BEC）诈骗给全球带来的损失及潜在损失超过120亿美元（约合人民币802.14亿元）。

什么是BEC？

商业电子邮件攻击（BEC），也被成为“变脸诈骗”攻击，这是针对高层管理人员的攻击，攻击者通常冒充（盗用）决策者的邮件，来下达与资金、利益相关的指令；或者攻击者依赖社会工程学制作电子邮件，说服/诱导高管短时间进行经济交易。

报告主要内容

这份报告基于 FBI 互联网犯罪投诉中心（IC3）、国际执法机构和金融机构2013年10月至2018年5月收集的数据进行分析。这些数据代表受害者实际上损失的资金以及陷入圈套可能会遭受的损失。  

瞄准亚洲银行

BEC 诈骗的主要目标为中国内地和香港地区的众多亚洲银行，亦有相当数量的诈骗涉及英国、墨西哥和土耳其的金融机构。

FBI 指出，在2013年10月~2018年5月期间：

  • 全球的投诉超过7.8万起，美国报告的受害者数量超过4.1万。

  • BEC 诈骗给个人和企业造成的损失或潜在损失高达125亿美元，美国损失约30亿美元。

FBI 上一份关于 BEC 诈骗的报告显示，2013年10月~2016年12月，全球发生的BEC 诈骗事件为4万多起，造成的损失共计逾53亿美元。

FBI 在2017互联网犯罪报告中指出，IC3 在2017年收到超过1.5万起 BEC 投诉，报告的损失为6.75亿美元。

房地产行业被“重点关注”

FBI 强调，房地产行业仍是 BEC 诈骗的热门目标，其受害者包括律师事务所、产权公司、房地产经纪人、卖家和买家。在针对房地产行业的 BEC 诈骗中，欺诈者代表房地产交易参与者使用欺骗性电子邮件，并要求收件人将钱转入欺诈账户。

网络安全公司 Flashpoint 的首席执行官乔什·莱夫寇维兹表示，BEC 诈骗说明，即使技术最先进的网络防御并不总是能抵御低技术威胁。打击 BEC 诈骗依靠的不仅仅是先进的技术和强有力的周边安全，它还需要人们了解这种威胁。

机器学习可让 BEC 诈骗成功率更高

在2017年的 Black Hat 大会上，赛门铁克安全响应负责人维贾伊·瑟维尔演示了威胁攻击者如何利用机器学习模型提升 BEC 诈骗的成功率。

攻击者可以使用机器学习增加入侵和敲诈的成功率，可以帮助攻击者绕过基于签名的检测系统，还可以按照旧数据模式为新数据预测各种结果。

另外，威胁攻击者可以利用目标的时间表实施攻击计划。当攻击者了解某人在某个时间正在做的事情，就能更好地规划何时发送电子邮件或要发送的邮件内容。

声明：本文来自E安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。