據(jù)Barracuda公司的最新報告顯示， 2023 年，有約 92% 的企業(yè)平均在一年內(nèi)經(jīng)歷了 6 次因電子郵件社交工程攻擊導致的憑據(jù)泄露事件。

在去年的社交工程攻擊中，詐騙和網(wǎng)絡釣魚占了86%。

報告中提到了幾種社工攻擊的趨勢，包括：

對話劫持： 這是指攻擊者通過網(wǎng)絡釣魚攻擊入侵企業(yè)賬戶，然后監(jiān)控被入侵的賬戶，以了解企業(yè)運營情況，了解正在進行的交易、付款程序和其他細節(jié)。攻擊者利用這些信息，從冒充的域名中編造看似真實、令人信服的信息，誘騙受害者匯款或更新付款信息。2023 年，對話劫持僅占社交工程攻擊的 0.5%，但與 2022 年相比，卻上升了近 70%。

勒索：這類攻擊涉及黑客威脅向受害者的聯(lián)系人暴露敏感或令人尷尬的內(nèi)容，除非支付贖金。勒索攻擊占 2023 年社會工程學攻擊總數(shù)的 2.7%。

攻擊者不斷利用合法服務

梭子魚報告強調(diào)，通過利用上述的社交工程技術(shù)，越來越多攻擊者開始使用合法服務來攻擊員工。

Gmail 是迄今為止社交工程攻擊中使用最多的電子郵件域，占去年攻擊的 22%。

黑客最常用的免費網(wǎng)絡郵件服務依次是 Outlook（2%）、Hotmail（1%）、iCloud（1%）和 Mail.com（1%）。所有其他域名占攻擊總數(shù)的 73%。使用 Gmail 的攻擊尤其偏向于 BEC，50% 以上的 Gmail 攻擊用于此目的。在 2023 年使用 Gmail 的攻擊中，詐騙占 43%。

研究人員還發(fā)現(xiàn)，越來越多網(wǎng)絡犯罪分子開始利用流行的商業(yè) URL 縮短服務在釣魚電子郵件中嵌入惡意鏈接。這種策略有助于掩蓋鏈接的真實性質(zhì)和目的地，因為它們通?？雌饋硐袷莵碜院戏ňW(wǎng)站。

去年使用最廣泛的 URL 縮短服務是 bit.ly，近 40% 的包含縮短 URL 的攻擊都利用了它。其次最常用的服務是 X（前 Twitter），在 16% 的包含縮短 URL 的攻擊中使用。與 2020 年的研究相比發(fā)生了重大變化，當時約有三分之二的攻擊（64%）使用了 X 的縮短服務，而 bit.ly 僅占 3%。

報告中強調(diào)的另一個顯著趨勢是 2023 年末 QR 碼網(wǎng)絡釣魚攻擊的顯著增加，約有 5% 的郵箱成為二維碼攻擊的目標。

網(wǎng)絡犯罪分子會在釣魚郵件中嵌入二維碼，提示用戶掃描二維碼并訪問一個看似可信服務或應用程序的虛假頁面。這些頁面通常是為了誘騙用戶下載惡意軟件或輸入登錄憑證。

研究人員指出，由于沒有嵌入鏈接或惡意附件可供掃描，因此使用傳統(tǒng)的電子郵件過濾方法很難檢測到 QR 代碼攻擊。

通過電子郵件發(fā)送的 QR 碼還能誘導受害者轉(zhuǎn)而到不受公司安全軟件保護的個人設備，如手機或 iPad上進行操作。

參考資料：https://www.infosecurity-magazine.com/news/credential-compromise-social/

來源： FreeBuf