Twilio网络攻击：社会工程是真实且非常危险的

CTI论坛(ctiforum.com)（编译/老秦）： 网络钓鱼是一个代价高昂的陷阱，生产力损失的间接成本从 2015 年的 180 万美元激增至 2021 年平均每家公司的 320 万美元。这使得它成为一个值得关注的突出攻击，因为公司正在成为网络钓鱼攻击的受害者，并且日趋严重。

最近，通信巨头Twilio证实，黑客通过网络钓鱼攻击成功诱骗员工交出公司登录凭据，从而访问了客户数据。

该攻击使用声称来自Twilio的 IT 部门的 SMS 网络钓鱼消息，暗示员工的密码已过期或他们的日程安排已更改，并建议目标使用攻击者控制的欺骗性网址登录。

Twilio表示，攻击者发送这些消息看起来是合法的，包括"Okta"和"SSO"等词，指的是单点登录，许多公司使用单点登录来保护对其内部应用程序的访问。（Okta本身在今年早些时候也受到了攻击，黑客可以访问其内部系统。）

总体而言，由于 COVID-19 大流行，网络犯罪（包括从盗窃或挪用公款到数据黑客攻击和破坏等方方面面）增加了 600%。随着数量的增加，网络犯罪的严重程度也在上升，漏洞和黑客攻击对于当今的公司来说是至关重要的，甚至是致命的伤害。 Cybersecurity Ventures 预计，未来五年全球网络犯罪成本将以每年 15% 的速度增长，到 2025 年将达到每年 10.5 万亿美元，高于 2015 年的 3 万亿美元。

各种类型的攻击都在上升。福布斯顾问最近的一项研究使用了 FBI 互联网犯罪投诉中心 (IC3) 过去五年的数据，发现当将十大最常见的违规方法加起来时，已发生超过 160 万起违规行为。勒索、个人数据泄露和身份盗窃等攻击的数量和损失都在增长。

"在所有类型的网络攻击中，各种规模的组织都必须格外警惕的一种是网络钓鱼攻击。"DefensX的创始人兼首席执行官 Osman Erkan说："网络钓鱼攻击是发送看似来自可靠来源的欺诈性通信的做法，通常通过电子邮件进行，但也可以通过短信进行。这些攻击的目标是窃取信用卡和登录信息等敏感数据，或在受害者的机器上安装恶意软件。从那里，攻击者可以帮助访问您的在线帐户和个人数据，获得修改和破坏连接系统的权限，例如销售点终端和订单处理系统--在某些情况下劫持整个计算机网络，直到支付赎金。"

网络犯罪分子通常使用网络钓鱼作为攻击，利用组织的最后一道网络防御--员工--Erkan说，他是世界顶级网络安全专家之一。

"攻击始于旨在引诱受害者的欺诈性电子邮件或其他通信，其消息看起来好像来自受信任的发件人，"Erkan说。"如果它欺骗了受害者，他或她就会被诱骗提供机密信息--通常是在诈骗网站上，或者有时恶意软件也会下载到目标的计算机上。有新的方法可以保护组织免受这些日益危险的威胁，我们正在尽我们所能来启发领导者，有解决可能导致与合规相关的罚款，甚至更糟糕的是，他们的业务灭绝的问题的解决方案。"

Twilio表示，自攻击以来，它已撤销对受感染员工账户的访问权限，并增加了安全培训，以确保员工对社会工程攻击保持"高度警惕"。他们并不是当今唯一试图加强网络安全的公司，因为 54% 的公司表示，他们的 IT 部门目前还不够成熟，无法应对高级网络攻击。许多企业现在正在寻找解决方案和协议来帮助阻止潜在的网络钓鱼攻击。

"以'永不信任，始终验证'为原则的零信任解决方案在今天是赌注，"Erkan解释说。"有了这个，所有实体在这个范式中都被认为是不可信的，除非通过身份验证/授权证明不是这样。"

尽管网络安全需求的增长主要是在过去十年内，但零信任已经经历了大幅增长。 2020 年全球零信任证券市场规模为 198 亿美元，预计 2021 年至 2028 年的复合年增长率 (CAGR) 为 15.2%。快速增长可归因于零信任可以提供在防御网络钓鱼攻击时的好处。

"通过在他们的电子邮件服务器/服务/移动设备中实施零信任，组织可以更好地保护他们的用户免受网络钓鱼攻击，"Erkan说。"许多现有的反网络钓鱼产品严重依赖只能检测/隔离已知威胁的阻止列表和过滤器。基于零信任的创新将阻止来自未经授权的收件人的任何电子邮件，并分析电子邮件内容以查找更常见/已知的威胁，但对于掌握了社会工程艺术的资金充足且盈利的企业而言，这还不够。为每位员工提供经过验证的工具来提醒他们注意危险消息并防止他们在意外点击时与危险域进行交互是非常重要的。小小的投资，就可以避免大灾难。"

打击网络钓鱼攻击的另一种主要方法是简单地培训员工如何发现攻击，以及在出现违规情况时该怎么做。网络钓鱼利用员工的不知情，每天每人发送和接收大约 121 封商业电子邮件，很容易错过迹象并成为网络钓鱼的受害者。

"在您的工作场所定期举办网络钓鱼意识培训课程很重要，"Erkan说，"但这可能会耗费时间并降低生产力，而且鉴于我们收到的电子邮件和短信数量庞大，这还不够。这就是我们创建DefensX并不断增强我们的平台、解决方案和功能的原因。"

DefensX将传统的网络浏览器转换为零信任的安全浏览器。零信任威胁防御技术通过隔离威胁到达端点设备（如台式机、笔记本电脑、智能手机和平板电脑）来保护用户免受高级网络安全攻击。

总体而言，随着技术的进一步发展，网络犯罪和黑客不会很快消失，网络钓鱼也不会。企业必须更加谨慎，因为黑客可能潜伏在每封电子邮件和 URL 后面。对于希望在数字时代继续受到保护的公司来说，零信任解决方案可以帮助加强防御，而充分的员工培训和基于云的软件解决方案可以帮助填补空白。

生成海报

免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。