2020年：邮箱攻击事态严重的一年

在年末清理邮箱已经成为许多人的习惯。经过一个假期的短暂休整，可以从邮箱中清理出很多的垃圾邮件。从2020年的针对收件箱的攻击的情况来看，多年来为加强电子邮件的安全性所做的努力全部白费了。目前最有针对性的攻击目标仍然是我们的收件箱。

因此，当我们进入新的2021年之前，总结我们对过去、现在和未来收件箱威胁和趋势的看法。

在2020年，我们的垃圾邮件中充斥着各种各样的带有恶意软件的电子邮件、链接到勒索软件的钓鱼诱饵、假冒的域名信息，以及冒用合法公司名义的恶意请求。那么，该如何定义2020年的垃圾邮件呢?

垃圾邮件肆虐的一年

COVID-19是垃圾邮件和网络钓鱼者使用最多的主题–预计这一趋势将会持续到2021年。公司让数以百万计的工作人员在家办公。他们要独自判断电子邮件的安全性，光是这一点，就让一些信息安全专业人士表示很担忧。

Mimecast在其年度总结中写道：

在COVID-19大流行期间，全球许多企业对员工采取严格的远程办公的政策，以确保员工的网络安全。

据Mimecast报道，在疫情发生的前几个月，零售业成为了域名伪造攻击的主要目标。在家办公的社会趋势为犯罪分子提供了可乘之机。犯罪分子迅速改变了他们的攻击方式。根据Forcepoint X-Labs的数据，网络攻击的频率在4月份达到了一个峰值，每天发送150万封COVID-19主题的恶意电子邮件。

接下来，在远程办公趋势的刺激下，随着Zoom、Skype和Trello等协作商务工具的普及，导致了大量的收件箱攻击。本月早些时候有一个典型的攻击方式，为了窃取视频会议平台的登录凭证，攻击者会发送Zoom主题的电子邮件、短信和社交媒体信息来进行攻击。

钓鱼攻击主题的另一大趋势–2020年美国总统大选。媒体的炒作给了骗子很多的机会，他们开始利用收件箱来传播恶意软件。

技术上的更新

除了收件箱的信息诈骗、商业电子邮件泄露(BEC)和电子邮件网络钓鱼攻击之外，犯罪分子还会利用利用一些技术特性来诱骗受害者。

9月份的一次网络钓鱼活动就利用了叠加屏幕和电子邮件隔离的策略来窃取目标的Microsoft Outlook凭证。4月，苹果公司修补了这两个0 day安全漏洞，这两个漏洞在前两年被恶意攻击者广泛的利用。这些漏洞可被攻击者远程利用，如果攻击者想要利用，只需向受害者的iPhone或iPad上的默认iOS Mail应用中发送邮件，就可发起攻击。

恶意附件，再次成为收件箱中最主要的攻击载体

今年卡巴斯基的研究人员报告称，伪装成物流服务通知的恶意文件的数量有所增加。他们写道：”我们发现了一个针对销售岗位员工进行攻击的邮件。攻击者劝说收件人打开附件文件，然后支付货物进口的关税。附件中包含的不是普通的文件，而是恶意软件Backdoor.MSIL.Crysan.gen。”。

2020年Verizon数据泄露调查报告(DBIR)发现，恶意电子邮件附件是数据泄露和勒索软件攻击的主要原因。统计发现40%的攻击都使用的是电子邮件链接，电子邮件链接成为了最常用的感染载体。

2021年收件箱攻击的防范措施

网络黑客集团提升了他们的攻击方式，使用了新的工具，但是我们的邮箱防护工具也是非常强大的。尽管如此，BEC等攻击还是在2020年给公司造成了巨大的损失。根据FBI的数据，在过去的五年里，BEC攻击已经给企业造成了260亿美元的损失。

这也推动了诸如基于域的消息认证、报告和DMARC等解决方案的普及，这种认证协议有时也被称为零信任电子邮件模型。DMARC的目的是为了防止电子邮件域名被未经授权使用。当然，DMARC并不是什么新技术，但随着攻击受害者数量的不断增加，这项技术也受到了很多人的关注。

微软也做出了解决电子邮箱攻击的尝试。今年，它推出了一个测试版的Application Guard for Office，它可以隔离恶意的Office 应用文件(包括Word、Powerpoint和Excel)的运行。

但Mimecast的研究人员认为，微软还有很大的改进空间。在一项针对微软客户的研究中，该公司发现近60%的受访者表示，他们在过去一年中遭遇了微软365服务的中断。

他们补充道：”如果出现了哪怕是短暂的中断，用户都有可能会放弃使用企业的安全措施来开展业务”

人：最薄弱的环节

关于垃圾邮件威胁的的过去、未来和现在，可以用这种二方法来概括。

作为员工，我们对电子邮件都有警惕心理。但我们也是人，容易受到情绪和冲动行为的影响。而且我们有时候会对安全工具有错误的认识和理解。例如，虚拟专用网可以保护连接，但无法过滤鱼叉式钓鱼攻击，收件箱成为我们网络安全中非常薄弱的一环。

基于网络技术的安全解决方案以及州和联邦的反垃圾邮件法只能解决部分问题。Iomart最近对英国企业的研究发现，只有8%的企业会为远程办公的员工进行定期的安全培训。

Iomart的安全总监Bill Strain写道：

企业不可能在有数据泄露的风险的环境中安全地运营，通过了解潜在的风险，并加强网络安全意识的培养，他们将有更多的机会发展下去。

虽然有些人寄希望于2021年出现新的邮箱保护技术，如先进的人工智能技术来屏蔽威胁攻击，但现实是恶意攻击者正在使用同样的技术来构建更先进的攻击性武器。无论如何，我们都要保持警惕。