鲸鱼式攻击：高管如何在目标钓鱼攻击中损失数百万
鲸鱼式攻击（也称CEO欺诈或高管钓鱼）是最复杂且财务破坏性最强的钓鱼攻击形式。与大规模分发钓鱼邮件不同，鲸鱼式攻击活动精心针对拥有敏感公司信息访问权限和财务授权权力的首席执行官、董事会成员和高级决策者。根据FBI互联网犯罪投诉中心的数据，商业电子邮件泄露攻击（包括鲸鱼式攻击）在2022年单年就造成了超过27亿美元的损失，单个事件频繁超过50万美元。 这些攻击通过广泛的信息收集和社会工程学得以成功。网络犯罪分子花费数周或数月时间通过LinkedIn资料、公司网站、SEC备案、会议出席记录和社交媒体活动来研究目标。他们精心制作个性化电子邮件，引用真实的业务关系、正在进行的项目或行业特定术语来建立可信度。这些消息通常冒充董事会成员、法律顾问或关键商业伙伴，制造紧急情景来迫使高管快速采取行动，而无需遵循正常的验证程序。 成功的鲸鱼式攻击造成的财务和声誉损害远超过直接的金钱损失。公司面临数据泄露的监管罚款、投资者信心丧失、业务关系受损，在某些情况下还会导致高管离职。平均鲸鱼式攻击从初始接触到电汇完成需要2-7天，某些复杂的活动可能持续数周以建立信任后再进行攻击。恢复率仍然低得惊人，不到15%的受害者能够恢复任何部分的被盗资金。
常见手法
- • 深入的信息收集活动，攻击者在数月内研究高管日程、出差计划、演讲活动和社交媒体帖子，以确定最佳攻击时机和逼真的攻击场景。
- • 电子邮件欺骗和域名冒充，使用几乎相同的域名（如'examp1e.com'而非'example.com'）或已知商业伙伴被破坏的账户发送在邮件客户端中看起来合法的消息。
- • 创建精心编造的背景故事，涉及虚假的法律事务、保密并购谈判、时间紧迫的监管合规问题或紧急供应商付款，为绕过正常批准流程提供理由。
- • 在高管出差、参加会议或因其他原因无法进行面对面验证的期间发动攻击，了解他们更可能通过移动设备仓促回复。
- • 多阶段社会工程学，初始接触通过良性商业讨论建立融洽关系，然后在数天或数周内逐步引入欺诈性请求，以避免引起怀疑。
- • 通过冒充CEO来针对首席财务官，或冒充董事会成员来针对CEO，利用权威的心理压力来压制质疑和验证，从而利用组织等级制度。
如何识别
- 通过电子邮件而非既定安全通信渠道发出的电汇、凭证重置或机密信息的紧急请求，尤其是当标记为时间敏感或保密时。
- 发件人地址中存在细微的域名差异，例如字母替换（rn而非m）、多余的连字符或替代顶级域名（.co而非.com），乍一看显得相同。
- 要求您破坏既定的公司协议、绕过批准工作流或向通常应参与的财务团队、法律部门或其他高管隐瞒交易的请求。
- 异常正式或非正式的语言，与所谓发件人的典型沟通风格不符，以及使用'尊敬的高管'之类的通用问候而非您的实际名字，而该发件人应该认识您。
- 在奇异时刻或所谓发件人已知出差、开会或以其他方式无法联系时收到的消息，尤其是当他们声称个人处理紧急事务而非通过助手时。
- 强调极端紧迫性、保密要求或延迟可能造成的负面后果的压力策略，特别是当与要求使用个人电子邮件、通过短信回复或在正常业务系统外通信的请求结合时。
如何保护自己
- 对所有超过指定阈值的电汇和金融交易实施强制双因素认证，要求通过已知电话号码（非电子邮件中提供的号码）进行语音确认，然后才能处理任何请求。
- 与高管、董事会成员和关键商业伙伴建立暗语或验证短语，在进行异常财务请求或在正常渠道外要求敏感信息时必须使用这些暗语。
- 部署高级电子邮件安全解决方案，标记外部电子邮件、检查域名欺骗、分析头部信息的身份验证失败，以及当电子邮件声称来自高管但实际源自外部来源时向用户发出警告。
- 进行季度性鲸鱼式攻击模拟练习，由安全团队向高管和董事会成员发送逼真的针对性钓鱼电子邮件，跟踪回应率并为测试失败的人员提供即时培训。
- 在组织内创建受保护的联系人列表，无法在内部被冒充，确保声称来自CEO或其他高管的电子邮件必须来自经验证的账户，或明确标记为外部来源。
- 要求高管为高度敏感的通信维护单独的电子邮件账户、实施专门针对鲸鱼式攻击策略的强制安全意识培训，以及建立明确的上报程序，当请求即使看起来合法也显得不寻常时。
真实案例
一家中等规模制造公司的首席财务官在新加坡行业会议上发言时收到一封看似来自CEO的电子邮件。该消息涉及一项正在进行的收购谈判（这是真实的且保密的），并要求紧急电汇47万美元到处理交易的新律师事务所。首席财务官习惯于处理时间敏感的交易，不想在会议期间打扰CEO，于是处理了转账。攻击者通过SEC备案研究了收购情况，并在LinkedIn上监控了CEO的会议出席情况，完美地选择了攻击时机。
一家医疗保健公司CEO的执行助理收到一封看似来自她老板的电子邮件，要求她购买1.5万美元的礼品卡用于客户感谢活动。该电子邮件来自与公司域名相差一个字母的域名，且邮件在CEO出差时早上7:30到达。助理购买了这些卡片并发送了代码，之后才意识到CEO的实际电子邮件有不同的签名格式，且此类采购总是通过采购部门进行。攻击者通过该助理的LinkedIn资料进行了研究，了解到她仅与公司合作了三个月。
一家科技初创公司的CEO收到了一封看似来自公司外部法律顾问的紧急电子邮件，涉及一项保密的知识产权纠纷。该电子邮件要求CEO的Office 365凭证以访问存储在安全共享文件夹中的文件。CEO认出了律师事务所的名称并对法律问题感到担忧，在看似是Microsoft登录页面的页面上输入了凭证。在几小时内，攻击者访问了公司的电子邮件系统，研究了财务流程，并向会计部门发送了总计28万美元的电汇请求，然后才被发现泄露。