企业电子邮件欺诈：AI个性化攻击如何针对特定人员
BEC通常不需要恶意软件、漏洞利用或可疑附件。在冒充攻击中，攻击者需要一个相似域名或伪造地址，以及愿意对消息采取行动的人。在account takeover中，攻击者进入真实邮箱，有时通过信息窃取恶意软件或捕获登录会话的钓鱼工具包，并从受信任账户发送邮件。人工智能使这两者的构建成本更低，且易于同时针对数百个目标重复执行。
什么是商业电子邮件欺诈？
在BEC诈骗中，攻击者冒充目标信任的人：高管、供应商或同事。目标是金钱、凭证或数据。有些攻击使用伪造或相似的域名。另一些则通过电子邮件账户被攻破，攻击者登录真实邮箱并从中发送邮件。这种版本更难被发现。邮件来自真实地址，通常在现有邮件线程中。
常见的BEC攻击示例
四种模式一再出现。
- 供应商发票欺诈： 攻击者访问供应商邮箱，回复真实发票线程并更新银行信息。应付账款看到熟悉的发件人在熟悉的对话中，付款转给了攻击者。
- 高管冒充： 一条看似来自CEO的信息，要求财务员工进行紧急电汇，并劝阻后续电话。
- 工资转移： 冒充员工的人要求人力资源更改直接存款信息。
- 线程劫持： 利用被攻破的账户，攻击者读取正在进行的对话，等待合适时机介入。
人工智能如何改变BEC欺诈
传统的BEC依赖手工操作。攻击者会调查公司，确定谁批准付款，并手写每条信息。这限制了攻击量和单个攻击者能针对的目标数量。人工智能改变了每个阶段的经济模式。
许多高管，没有休息
针对高管的BEC过去是手动的。攻击者选择一位或几位高管，不断尝试，直到目标回复或攻击者放弃。每次尝试都耗费时间，因此目标名单保持较短。
利用AI，攻击者可以建立数百名C级和高级财务联系人名单，为每人生成不同信息，并全天候发送。忽略一条消息，会收到以不同借口的跟进。自动化跟踪谁回复了，谁没回复，以及下一步尝试什么。高管通常拥有广泛访问权限，因此一次成功可能涉及付款批准、董事会材料和敏感数据。
组织规模的研究
公司网站、新闻稿、招聘信息和专业社交资料会透露姓名、职位、汇报关系和供应商关系。自动化工具可在几分钟内收集整个公司的这些信息。如果攻击者已控制一个邮箱，收件箱中会增加真实的项目名称、发票号码以及同事之间实际的交流方式。
与发件人匹配的书写
语言模型可以读取被入侵账户的几十封电子邮件，并复制发件人的问候语、结尾语和句子长度。输出的是目标阅读语言中干净流畅的文本。拼写错误和笨拙的措辞曾是标准警告信号，但它们正在消失。
来自线程内部的定时
模型可以总结冗长的对话，并捕捉关键时刻：已批准的发票、待处理的电汇、合同续签。攻击者的信息会在付款对话已经进行时到达，此时新的银行信息看起来很常规。
更快的凭证攻击
账户接管使线程劫持成为可能，人工智能也加速了这一过程。从公开资料中抓取的姓名、宠物、生日和雇主信息被输入猜测生成器，为特定人员生成可能的密码。泄露的凭证会依次在多个账户中进行测试，自动化系统负责重试。
并排：
Stage | Traditional BEC | AI-assisted BEC |
|---|---|---|
|
Research |
Manual lookup of a few targets |
Automated collection of names, titles, reporting lines, and vendor ties across the whole organization |
|
Message quality |
Typos, odd phrasing, generic greeting |
Clean, fluent text in the target's language |
|
Personalization |
Name and title at most |
References real projects, invoices, and colleagues; matches the sender's usual tone |
|
Targets |
One executive or a couple, chosen by hand |
Long lists of C-level and senior finance contacts, worked in parallel |
|
Persistence |
Attempts stop when the attacker runs out of time |
Automated follow-ups continue until a credential or access is obtained |
|
Timing |
Guesswork |
Mailbox contents show when invoices are approved and payments are due |
|
Warning signs for defenders |
Spelling errors, unusual tone |
Few visible; process checks matter more than style |
电子邮件账户泄露始于凭据
相似域名可以被阻止或标记。被接管的真实账户更难检测，因为发送者是合法的。大多数接管始于凭证：从泄露网站重复使用的密码、由个人信息构建的密码短语，或保存在数十人可打开的电子表格中的共享登录信息。
高管面临更大风险，因为攻击者不断尝试。弱密码或重复使用的密码可能能抵挡几次尝试，但数千次则另当别论。
一旦入侵，攻击者会读取邮件，搜索“invoice”、“wire”和“payment”等词汇，并设置隐藏其活动的规则。转发规则或将回复移动到不显眼文件夹的规则，可能让真正的所有者数周不知情。
BEC 预防：加强密码层
电子邮件过滤和用户培训很重要。凭证层的两个控制措施降低了被盗或重复使用的密码导致邮箱被攻破的可能性。
Netwrix Password Policy Enforcer远远超出原生Active Directory复杂性规则。它会将新密码与Have I Been Pwned等泄露列表进行比对，阻止字典词和可预测的模式，并对不同用户、组和OU应用不同的策略。实时反馈解释密码被拒绝的原因，帮助用户当场选择更强的密码。由于策略可以按组分配，管理层和财务团队可以获得比其他人更严格的策略。
Netwrix Password Secure 覆盖中央/AD 策略无法触及的凭据：共享邮箱登录、供应商门户、特权账户。它将这些凭据存储在加密保险库中，按角色授予访问权限，并支持敏感账户的审批工作流。每次访问都会被记录，MFA 在vault 本身增加了另一层检查。凭据从电子表格和聊天记录中脱离，您可以获得谁使用了什么、何时使用的记录。
Netwrix Data Classification 显示哪些邮箱和存储库包含最敏感的内容，帮助您了解单个被攻破账户可能达到的范围。
执行更严格的密码策略。使用 Netwrix Password Policy Enforcer 阻止弱密码、重复使用和被泄露的凭据。
了解更多企业电子邮件欺诈防范清单
- 执行一项password policy，阻止泄露、字典和可预测密码，并为高管和财务团队制定更严格的版本。
- 将共享和 privileged 登录信息从电子表格移入具有基于角色访问权限的保险库。
- 在电子邮件、财务系统和vault上要求抗钓鱼的MFA。
- 通过单独的渠道（例如拨打已知号码）验证任何银行详情或付款指示的更改。
- 审核转发和收件箱规则，审查财务、人力资源和高管邮箱的登录活动。
- 告诉大家，AI撰写的消息读起来很流畅。拼写错误不再是主要的警告信号。
Active Directory密码策略最佳实践。免费下载指南。
分享到
了解更多
关于作者
Sascha Martens
首席技术官（CTO）
来自一位致力于拆解当下挑战并指导团队保护身份与数据的安全专业人士的见解。