隨著勒索軟件支出的增加，新的網絡攻擊策略應運而生

網絡安全與合規性服務商Proofpoint公司最新發布的一份調查報告表明，網絡釣魚、商業郵件泄露(BEC)和勒索軟件仍是最流行的網絡攻擊技術，同時，一種新型的網絡攻擊正在興起。

網絡安全與合規性服務商Proofpoint公司網絡安全戰略執行副總裁Ryan Kalember在該公司發布的有關《2023年網絡釣魚狀況報告》的一篇新聞稿中說:“傳統的網絡釣魚仍然很成功，同時，許多威脅行為者已經轉向采用更新的技術，例如面向電話的攻擊交付(TOAD)和繞過多因素認證的中間對手(AitM)網絡釣魚代理。多年來，這些技術一直被用于定向攻擊，在2020年，它們被大規模使用。”

該報告基于對15個國家的7500名員工和1050名安全專業人員的調查，并在一年內對1800多萬終端用戶報告的電子郵件和1.35億次模擬網絡釣魚攻擊進行了內部遙測。研究表明，網絡安全意識和安全環境的持續差距導致了網絡攻擊。

勒索軟件和基于電子郵件的攻擊是最常見的網絡攻擊

在2022年，76%的企業成為勒索軟件攻擊的目標，其中64%的企業實際上受到了感染。這些企業中只有50%在支付贖金后成功獲得了他們的數據。

幾乎所有受影響的企業(90%)都有涵蓋勒索軟件攻擊的網絡安全保險政策，大多數(82%)保險公司同意支付部分或全部贖金。根據Proofpoint公司發布的數據，擁有網絡安全保險的公司比例很高，這是大量企業愿意支付贖金的原因，64%的受感染企業至少支付了一次贖金，與去年相比增加了6個百分點。

報告強調，接受調查的美國企業(89%的企業遭受過勒索軟件攻擊)更容易受到勒索軟件的攻擊，接受調查的其他14個國家的企業幾乎都有網絡安全保險。

在接受調查的加拿大企業中，只有24%的企業在勒索軟件攻擊后提出索賠，原因是他們的政策覆蓋范圍不廣。韓國仍然是亞太地區受攻擊最少的國家。

報告稱，2022年，80%以上的企業(84%)經歷了至少一次成功的基于電子郵件的網絡釣魚攻擊，其直接經濟損失比2021年增加了76%。

去年，全球75%的企業報告了商業郵件泄露(BEC)攻擊事件。雖然英語仍然是最常用的語言，但一些非英語國家的企業使用自己的語言進行的攻擊數量更高，其中，荷蘭和瑞典的企業報告此類的攻擊激增92%;西班牙增長92%;德國增長86%;法國增長了80%。

微軟仍然是頂級被冒充的品牌

網絡犯罪分子大多在網絡釣魚攻擊中濫用微軟的品牌名稱，有3000多萬條郵件使用微軟的品牌或提到Office或OneDrive等產品。然而，其他公司也經常被網絡犯罪分子冒充，包括亞馬遜(在650萬次網絡攻擊中提到) ;DocuSign(350萬次);谷歌(260萬次);DHL(200萬次);以及Adobe(150萬次)。

大量的品牌冒充攻擊令人擔憂，尤其是44%的受訪員工認為，帶有熟悉品牌的電子郵件是安全的，63%的人認為電子郵件地址總是屬于相應品牌的網站。

無論是在家里還是在辦公室工作，最終用戶缺乏安全知識和不良的安全習慣，使企業容易受到潛在風險的影響。調查表明，超過33%的受訪者無法區分惡意軟件、網絡釣魚等術語。

新的網絡攻擊威脅上升

在過去的一年中，每天發送的面向電話的攻擊交付(TOAD)和多因素身份驗證(MFA)繞過釣魚信息的數量顯著增加。Proofpoint公司每天監控超過60萬次TOAD攻擊，通過欺騙性的“呼叫中心”鼓勵收件人發起與網絡攻擊者的直接對話。

新冠疫情導致的工作流動性變化和經濟不確定性導致25%的員工在過去兩年離職或換工作。這使得企業的數據保護更具挑戰性，65%的企業報告了由于內部人員的行為而導致的數據丟失，近一半(44%)換工作的人承認隨身攜帶了數據。

在全球各地，在2022年，71%的歐洲、中東和非洲的企業數據泄露都是內部人員造成的。德國企業最有可能遭遇內部攻擊，18%的企業報告稱數據丟失是由內部人員造成的。阿聯酋只有4%的企業報告數據是由于內部攻擊而丟失，該國企業遭受內部攻擊的可能性最小。

此外，美國的企業(63%)傾向于對不安全行為的員工進行處分。在從事信息安全工作的受訪者中，只有9%的人認為實施結果模型與企業文化不兼容。