Sectigo 網誌
利用 S/MIME 電郵防護抵禦魚叉式網絡釣魚攻擊
我們首篇關於 S/MIME 的文章全面概述全面概述了企業在電郵安全領域面對的挑戰，同時介紹了可用於修復大多數此類漏洞的S/MIME 技術。在本文中，我們會展開具體說明，介紹如何使用 S/MIME 抵禦「魚叉式網絡釣魚」攻擊。
我們首篇關於 S/MIME 的文章全面概述全面概述了企業在電郵安全領域面對的挑戰，同時介紹了可用於修復大多數此類漏洞的S/MIME 技術。在本文中，我們會展開具體說明，介紹如何使用 S/MIME 抵禦「魚叉式網絡釣魚」攻擊。
商業電郵詐騙（BEC）這一術語在網絡安全行業廣為人知，但它僅指代魚叉式網絡釣魚攻擊的一種特定類型。魚叉式網絡釣魚攻擊透過偽裝成已知或可信寄件人發送欺詐電郵實施，核心目的是誘使受害者按照攻擊者的要求執行某項操作。
這類操作可能簡單到泄露機密資訊，也可能複雜到完成一筆金融交易。魚叉式網絡釣魚攻擊與普通網絡釣魚攻擊的區別在於，魚叉式釣魚電郵是針對收件人定制的，具備更高的表面可信度，識別難度更大。
攻擊者如何讓這些電郵看起來合法？他們可使用的手段多種多樣。
- 大多數情況下，這類電郵包含偽造電郵標頭，讓電郵看起來像是來自機構內部。正如我們在上一篇網誌中討論的，這類攻擊通常透過偽造電郵的「寄件人」欄位實施，即便是最謹慎的員工，也極難識別出這類欺詐電郵。
- 通常情況下，攻擊者會嘗試冒充行政總裁、公司總裁或其他最高管理層高管，基層或中層員工通常不會質疑這類高管的權威。
- 注重細節的攻擊者甚至會在電郵下方偽造一整套虛假電郵往來鏈，讓電郵看起來更具真實性。儘管企業應當培訓員工識別風險警示訊號，但人終究會有疏忽。
這種易犯錯的特性正是攻擊者企圖利用的漏洞。假如一家公司的CEO要求一名初級財務員工緊急完成一筆轉賬，該員工能否放心提出質疑？如果同一封欺詐電郵被發送給十多名不同的財務人員，是否所有人都能成功識別出電郵是偽造的？
只需要一次失誤——只要有一名員工批准向詐騙分子的帳戶轉賬，這筆資金幾乎肯定無法追回。詐騙分子十分狡猾，他們收到的任何資金都會被迅速轉移到執法部門幾乎無法觸及的地方藏匿。
S/MIME 以最簡單直接的方式解決了這個問題：提供無法偽造的電郵發件人真實身份標識。如果沒有S/MIME，一般電郵用戶完全沒有可識別的依據來區分真實發件人身份和偽造的發件人身份——的確，沒有任何方法。部署S/MIME後，員工只需查看收到的電郵是否附帶正確的電郵簽名，即可確認發件人已經過驗證。這並不代表員工無需再保持警惕——保持防範意識仍然十分重要。請記住，一次疏忽就可能導致嚴重的安全事故。但S/MIME的確提供了一種無法偽造的方式，可用於驗證任何電郵（及其包含的所有附件）的完整性。
在整個機構內部部署S/MIME電郵數碼證書後，無論收到的電郵是否可疑，員工都能立即驗證來自機構內部成員的任何電郵的來源。S/MIME將驗證身份的責任從員工身上轉移到電郵客戶端本身，為企業資訊安全增加了一道不受人為錯誤影響的關鍵額外保護層。
如需了解更多資訊，請閱讀《電郵為何存在漏洞以及S/MIME如何提供協助》，這是我們五部分S/MIME 101網誌系列的第一篇文章。