甚麼是商業電郵入侵（BEC）？

商業電郵詐騙是一種網絡攻擊，犯罪分子會冒充你信任的人，誘使你匯款或交出敏感資料。攻擊者會花上數星期了解一家公司如何溝通、誰握有決策權，以及何時出手。到電郵送達時，它看起來就像一封來自你認識的人、再正常不過的電郵。

BEC 攻擊是如何運作的？

這類攻擊有一套屢試不爽的套路，而騙徒每次都會照辦煮碗。

第 1 步 – 找出目標

商業電郵詐騙攻擊的重點，就是它必須足夠令人信服。對攻擊者來說，幸運的是，互聯網是潛在目標資訊的寶庫。快速看一眼你的社交媒體個人檔案，就能知道你的工作、親近朋友，甚至你的說話語氣。再把這些資訊與有關公司未來動向的新聞稿，以及公司網站上的個人簡介拼湊起來，整件事就開始變得可信。

攻擊者可以搜刮所有這些資訊，並在幾秒內製作出一封看起來、聽起來都像真的電郵。

第 2 步 – 進入收件箱

要令電郵內容看起來真實，攻擊者需要為它包裝上一層亮眼而可信的外殼。如果電郵地址看起來不像來自可信來源，整場騙局就會徹底失敗。

攻擊者可以透過註冊像 acme-corp.com 而不是 acmecorp.com 這樣的名稱來偽冒網域。又或者，如果他們夠聰明，就會入侵真正的收件箱，令它幾乎無法與真實訊息區分。

畢竟，如果它看起來像鴨、叫起來也像鴨，大多數人都會認為它就是鴨。

第 3 步 – 建立信任

這類攻擊講求耐性。攻擊者可以潛伏在被入侵的收件箱中數星期，閱讀電郵串並學習溝通風格。當電郵終於送達時，它會自然融入先前的電郵之中，模仿對話的語氣和節奏。

第 4 步 – 提出要求

一旦攻擊者對你瞭如指掌——你的語氣、同事的姓名與職銜，以及你公司正在發生的事——並且成功滲透你的電郵後，請求就會被發出。

通常這些事情都不容易挽回。可能是把錢匯到某個銀行戶口，或分享私人資料。關鍵在於，事情必須是不可逆轉的。 

當目標意識到有問題時，攻擊者需要損害早已造成。如果他們特別狡猾，甚至可能會在節日期間發送，因為那時大家戒心較低，成功機會也更高。

第 5 步 – 消失得無影無蹤

資金一經匯出，就會迅速經過一連串中介戶口轉移。這些戶口通常設於海外，即使對執法部門而言，資金流向也非常難以追查。

商業電郵詐騙示例

商業電郵詐騙可說是數碼攻擊中的終極大魔王。它通常涉及 大型公司和令人咋舌的巨額金錢。

Toyota Boshoku（$37M）

2019 年，Toyota 的一間主要供應商在一次轉帳中損失了數以千萬計的金額。攻擊者入侵了 Toyota Boshoku 的電郵系統，閱讀訊息並了解公司如何溝通。當對話中提到一筆大額轉帳時，他們要求公司內一位有權調動資金的人更新該筆轉帳的銀行戶口資料。整件事看起來合情合理，於是款項就被匯出了。 

就這樣，3,700 萬美元沒了。

Google and Facebook（$120M）

在 2013 至 2015 年間，Google and Facebook 遭遇了終極版的假供應商騙局。一名罪犯以兩家公司都在使用的一家合法硬件製造商的完全相同名稱，註冊了一間假公司。他偽造合約，並直接向它們的會計部門發送看似例行公事的發票。由於該供應商本來就已通過審核並受到信任，付款在毫不懷疑下獲得批准。兩年間，超過 1.2 億美元直接流入騙徒的銀行戶口。

Ubiquiti Networks（$46.7M）

2015 年，網絡設備巨頭 Ubiquiti 也成為類似騙局的受害者。攻擊者沒有費心設立假公司，也沒有入侵第三方供應商。相反，他們直接闖入系統，冒充公司高層主管，並向內部財務部門發送緊急轉帳要求。員工單憑假高層名字所帶來的權威感便照辦，將資金匯往海外。等到有人停下來再次核實時，4,670 萬美元已經匯出。

商業電郵詐騙攻擊的類型

並非所有商業電郵詐騙案例看起來都一樣。當然，目標始終是誘使人交出盡可能多的金錢，但手法可以非常不同。

CEO 詐騙（高層冒充）

這是最廣為人知的 BEC 形式。攻擊者會冒充高級主管，通常是 CEO 或 CFO，並向財務人員施壓要求轉帳。之所以有效，是因為權力關係。當老闆有所要求時，大多數人不會停下來問原因。如果再配上一個可信的背景故事，就足以讓人不假思索地採取行動。

供應商電郵詐騙

攻擊者針對的是公司外部的關係，而不是假裝成公司內部的人。他們會鎖定受信任的供應商和賣方，潛入現有的電郵對話中，並把真實的付款資料換成自己的。從受害者的角度看，這就像是來自合作多年的供應商所發出的例行發票更新。

帳戶接管

這是最危險的變體，因為當中根本沒有偽冒。攻擊者使用的是真實帳戶。電郵來自真實地址，語氣也正確。訊息看起來完全正常，因為從技術上來說，它的確就是正常的。

薪資轉向

這種手法不是針對公司的資金，而是針對員工。攻擊者會冒充人力資源部或員工本人，要求更新薪資資料，悄悄把薪金改匯到他們控制的戶口。 

受害者通常要到發薪日才會發現，而由於金額較小、要求看起來又很正常，因此很少觸發詐騙警報。這是 BEC 較慢的一種版本，但只要影響足夠多員工，損失很快就會累積起來。

BEC 與網絡釣魚 – 有甚麼分別？

網絡釣魚電郵早已存在多年，而且大多數人都知道它大概長甚麼樣。就是那種告訴你中了獎，或說有位尼日利亞王子需要你幫忙的電郵。它們會大量群發，依靠龐大數量來趁人不備。

如果說網絡釣魚是一張網，那麼 BEC 就像狙擊手。攻擊者會花上數星期研究一家公司，有時甚至只針對某一個人。到電郵送達時，它看起來就像是你認識的人在星期二早上發來的一則訊息。

網絡釣魚通常是為了你的登入憑證，但 BEC 會完全跳過這一步，直接衝著金錢或資料而來。

如何識別商業電郵詐騙攻擊

BEC 攻擊就是被設計成看起來很正常。但如果你知道要留意甚麼，蛛絲馬跡其實就在那裡。

• 催促感— 一封催你迅速轉帳的電郵，完全不給你停下來核實的空間。

• 突然的變更 — 某個供應商或同事突然毫無預警地更新了付款資料。

• 幾乎正確的地址 — 寄件人的電郵地址只跟真實地址差一個字元。

• 有點不對勁的語氣— 感覺哪裡怪怪的，太正式、太隨便，或異常神秘。

• 突如其來的要求 — 有人要求你做一件通常會透過其他渠道處理的事。
  

如何防止商業電郵詐騙攻擊

了解這些攻擊如何運作，已經是成功防範的一半。另一半則是確保你的企業不是容易下手的目標。

拿起電話

如果有電郵要求你轉帳或更新付款資料，不要直接回覆。請用你原本已有的電話號碼直接致電對方，而不是使用電郵中的號碼。只需 30 秒，卻是你能做的最有效措施。

啟用雙重驗證

如果攻擊者取得了某人的登入憑證，2FA 可以阻止整個收件箱被全面接管。它未必能阻止所有事情，但會令帳戶被入侵變得困難得多。

讓你的團隊知道甚麼才算正常

定期培訓團隊了解甚麼是 BEC、它如何運作，以及有哪些危險訊號，能把你的員工變成一道防線。

讓工具替你分擔部分重任

垃圾郵件過濾器和網域驗證工具，例如 SPF、DKIM 和 DMARC，可以在 BEC 嘗試接觸你的團隊之前先行過濾。基於 AI 的偵測更進一步。它會學習你組織內正常的電郵行為模式，並標記任何可疑情況。