最新研究显示，尽管网络钓鱼、商业邮件诈骗 (BEC)和勒索软件仍然是最流行的三大网络攻击技术，但新型攻击的组合仍在悄然兴起。
许多攻击者已经不再满足于传统网络钓鱼手段，开始转向更新的技术，例如面向电话的攻击传递（TOAD）和攻击对手为中间人（AitM）的网络钓鱼代理绕过多因素身份验证。这些技术多年来一直被用于有针对性的攻击，直到2020年才开始大规模部署。”
Proofpoint近期发布了一项报告，该报告基于对15个国家的7500名员工和1050名安全专业人员的调查，以及在一年内监测了1800多万最终用户报告的电子邮件和1.35亿次模拟网络钓鱼攻击的内部遥测数据。
▍勒索软件、基于邮件的攻击是头号罪犯
2022 年，76%的组织成为勒索软件攻击的目标，其中64%受到了实际攻击。这些组织中只有 50%在支付赎金后获取到了他们的数据。此外，超过66%的受访者表示曾多次受到被隔离的勒索软件感染。
几乎所有受影响的组织 (90%) 都有涵盖勒索软件攻击的网络安全保险政策，而且82%保险公司同意支付部分或全部赎金。数据显示，拥有网络安全保险的公司占比很高，这就是为什么大量组织愿意支付赎金的原因，其中64%的受害者者至少支付了一次赎金，略高于上一年。
在接受调查的加拿大组织中，只有24%的组织在勒索软件攻击后提出索赔，原因是他们的政策覆盖面很广。韩国仍然是亚太地区受灾最少的国家。
报告称，2022 年84%的组织经历了至少一次成功的基于邮件的网络钓鱼攻击，直接经济损失比2021年增加了 76%。
全球75%的组织去年报告了一次未遂的商业电子邮件泄露 (BEC) 攻击。虽然英语仍然是最常用的语言，但一些非英语国家的公司发现使用他们自己的语言进行的攻击数量更高。
▍微软仍然是模仿最多的品牌
网络犯罪分子大多在网络钓鱼攻击中滥用微软的品牌名称，超过3000万条消息冒充微软或提及Office或OneDrive等产品。然而，其他公司也经常被网络犯罪分子冒充，包括亚马逊（在650万次攻击中提到）、DocuSign（350万）、谷歌（260万）、DHL（200万）和 Adobe（150万）。
44%的受访员工认为带有熟悉品牌标识的邮件是安全的，而63%的员工认为邮件地址始终属于该品牌的相应网站，大量假冒知名品牌的攻击让人不得不担忧。
如果员工存在安全知识缺失和不良安全习惯，那么无论他们是远程还是在现场工作，都会使组织更容易受到潜在风险的影响。调查显示，超过33%的受访者无法区分恶意软件、网络钓鱼或勒索软件等术语。
▍新的网络攻击威胁上升
在过去的一年里，每天发送的面向电话的攻击传递 (TOAD) 和多因素身份验证 (MFA) 绕过网络钓鱼消息的数量显著增加。
在过去两年中，全球疫情导致的工作更高的移动性和经济不确定性使得四分之一的员工离职或换工作。这使得数据保护对组织来说更具挑战性，其中65%的组织报告称数据丢失是由于内部人员的行为造成的。几乎一半的换工作者承认离职后携带了组织数据。
尽管许多企业采取措施培训员工安全意识，但无孔不入的钓鱼邮件攻击以及层出不穷的新型攻击手段表明，企业不能将数据安全建立在拥有高度不确定性的员工意识层面，采取技术手段实战化验证安全防御效果很有必要。
塞讯安全度量验证平台能够模拟包含恶意链接或恶意附件的钓鱼邮件等一系列网络欺诈攻击行为，为企业提供安全有效的防御体系效果验证服务，通过可视化报告帮助企业明确防御体系的短板并做出相应的调整和准备，降低安全团队处理钓鱼邮件所花费的成本。
您可以在塞讯安全度量验证平台中轻松选择那些包含恶意链接或恶意附件的钓鱼邮件的验证实验，指定AI攻防机器人发送这些邮件给企业邮件系统中指定的邮件地址，用于验证您企业的邮件安全产品是否有能力检测出这些钓鱼邮件并将其隔离或删除。
塞讯验证还为企业提供勒索软件防御评估服务，帮助您进行勒索软件防御能力的技术评估，我们的评估服务覆盖整个勒索软件攻击杀伤链的所有攻击阶段，为企业识别每个攻击阶段存在的风险。
