5月7日，FBI互联网犯罪投诉中心（IC3）发布了《2017年网络犯罪报告》，报告显示，该中心去年一共收到301580起投诉，与之相关的经济损失总额为14.2亿美元。
在报告提到的33类安全因素中，工作邮箱信息泄漏总共发生了15690起，仅占5.2%。但是从经济损失角度来看，工作邮箱信息泄漏导致的损失高达6.76亿美元，占比高达47.6%，是对经济损害最严重一个因素。
报告称，诈骗分子通常使用社会工程学（社工）方法侵入企业邮箱账户，并进行未经授权的资金转移。诈骗分子使用的社工并非恶意软件，而是用欺骗和心理操控的方法套取企业关键信息。
由于大多数网络防御解决方案旨在检测包含恶意软件和恶意链接的邮件，对社工这种以人际交流为手段的攻击方式并不适用，这在很大程度上解释了为什么邮件信息泄漏事件频频发生，并且能够造成如此巨大的损失。
在这份报告中，FBI列举了2013-2017年间邮件诈骗方式的转变：
- 2013年，受害者表示黑客入侵了CEO或CFO的邮件账户，然后向相关员工发送邮件，要求向指定账户转账。
- 2014年，受害者报告称，其工作邮箱账户遭到黑客入侵，并且向联系人列表中的供应商发送欺诈性付款请求。
- 2015年，受害者表示收到声称是律师/律师事务所相关人员的邮件，要求其秘密转账或在敏感时间转账。
- 2016年，黑客窃取员工工作邮箱账户，向相关同同事索要个人身份信息或W-2表格数据（包含工资、税务报表等信息）的欺骗性邮件增多。
- 2017年，邮箱账户信息泄漏导致的经济损失，在房地产行业大幅增长。
据悉，这份报告的数据主要来自美国、加拿大和欧洲国家，因此，以上数据所反映的也只是这几个国家和地区的情况。但是，这一情况在中国同样十分严重。有统计表明，电子邮件在2017年也是我国的网络安全重灾区，给超过半数以上的企业造成了重大经济损失，总额超过50亿元人民币。
把“人”的因素放到企业邮箱安全管理策略中
从以上的分析中也可以看出，在邮件信息泄漏事件中，黑客的攻击手段在不断变化，但是归根结底，主要还是通过窃取身份来达到目的。由于社工等手段的特殊性，即使最先进的网络防御，在这种低技术威胁面前也显得无能为力。
在网络边界被打破的今天，“人的身份”已经成为新的边界。正是因此，有必要用技术手段将防护工作建立在新的边界上，把“人”的因素放到企业安全管理策略中，从而在本质上提升账户安全。
为此，锦佰安科技推出了SecID邮件安全解决方案，通过电子邮件系统结合SecID身份识别系统，实现了用先进的多因素身份认证技术，保护各级政企组织电子邮件系统的目标。
邮件安全场景SecID接入解决方案
针对市场上常用的电子邮件系统，SecID均做了适配，并且已有成熟的API技术和后端研发力量，可快速支持任何客户指定的系统，包括了自建邮件系统和租用邮件系统。
灵活的安全策略：SecID集成了多因素身份认证方式。在完成部署后，当员工试图登录邮箱时，在完成账户密码的输入之后，系统会要求用户再完成另一种因素的身份验证，比如指纹、人脸识别、图片密码、一键确认、OTP动态口令。
在这种情况下，由于黑客等恶意人员无法绕过二次身份认证环节，所以即使窃取邮箱密码也无法登录。企业可以根据安全场景的不同，指定相应的登录验证方式，从而建立起一个多层次的防御系统，使未经授权的人访问企业邮箱更加困难。
安全审计：此外，SecID 身份识别管理后台可记录管理员操作日志及用户登录认证日志，方便安全审计和追溯，实现责任到人。
通过SecID邮件安全解决方案，既能防止政企员工身份被盗用（密码被盗、撞库、暴力破解等）造成的安全风险，同时也能实现操作体验的简单方便。
结语
一般来说，传统的网络防御方案不足以解决企业邮箱安全问题，邮箱信息泄漏的问题提醒着政企组织，应该重新审视“人”在信息安全中的地位和作用。如果不能解决员工身份认证的问题，即使再强大的防御解决方案也无法有效应对邮箱信息泄漏威胁。人的因素一直是政企信息安全环节的短板，解决了这一问题，即可杜绝大多数信息泄漏事件的发生。
《2017年网络犯罪报告》下载地址：