破解商务电邮诈骗流程 摆脱威胁只在一念之间

许多人们对于电邮诈骗(Business Email Compromise；BEC)或其意义十分陌生，对防范美国境内外组织型犯罪的FBI而言，它已是短短18个月内成长13倍的可怕犯罪型态，据其网络犯罪通报中心(Internet Crime Complaint Center；IC3)公告之数据，此手法已在美国全境50州及全世界至少100个国家骗取累计超过31亿美元、受理超过2万个受害案件，2018年底更上看125亿美元。

许多人对于BEC中的「Compromise」词汇非常好奇，此也无非是现代网安攻防战中最热门的关键字之一；它并不是妥协的意思，而是指有心人，也就是黑客或骗徒，以特殊手段「获取」原不属于他们的东西，并借此执行后续的恶意移动。像是「获取」他人的帐号权限，甚至是重要主机的管理权限。而在BEC诈骗案件中，犯罪集团「获取」的是各行各业商业往来的人员及交易信息，并由电子邮件进一步联系受害者，藉由以假乱真的寄件人身份，搭配假造的汇款信息，最后获取不义之财。

从过去的金光党以假金饰诈财，到现在演变到各种信件与电话诈骗，网络世界的诈骗也不断变化，最终演化以企业目标的针对性手法诈骗交易。所幸，信息应用技术皆有一定的逻辑，此类电邮诈骗手法也会有一定顺序及渗入方式。

既然BEC得逞需有一定步骤，自然就有特定方法防范，更令人感到振奋的是这些方法多数都不是新技术，只要具有正确观念、善加运用，就能以这几年来发展的网安防护功能，提供企业不错的防护。

从「风险管理」的角度来看，外部威胁发生时，若内部有弱点，造成的冲击即是风险。电邮诈骗欲成功，其实需要一项以上的弱点被「Compromise」，而且最后汇款转帐的行为发生，才能成功。当企业完善建置纵深防御的多项保护措施时，便逐渐远离了诈骗的陷阱，BEC成功的机率将随着每道保护而大幅降低。

话虽如此，要贯串整个防御移动，还是需要加强组织的网安意识，诈骗的对象最终还是人，因此良好的网安观念，便可成为阻挡成功的关键一环。因此定期的教育训练，建立符合组织的网安政策，便可大幅降低邮件诈骗的威胁，避免组织遭受不必要的损失。(本文由网擎信息行销副总李孟秋提供，魏于宁整理报导)