犯罪分子们越来越多的试图通过转移CEO和其他高管的薪资，来进行商业诈骗。

安全供应商Agari表示，最近发现了大量通过社交工程进行薪资转移的尝试。Agari在这周的一次报告中表示，幕后的犯罪团伙似乎投入了大量资源来了解组织架构，并清楚的知道攻击目标。

过去一年里，薪资转移已经成为了一个新兴威胁，Agari风险研究高管Crane Hassold表示。他说这种攻击在2018年第四季度开始增加，已经成为了商务邮件泄密（BEC）的最新诈骗形式。

和给金融机构造成威胁的传统BEC攻击不同，薪资转移攻击不需要通过银行，因为它是直接存款，而不是电汇。

这些骗局中，典型的操作方式是攻击者以CEO的名义设置电子邮件账户来冒充CEO。然后他们会向人力资源部门或者财务部门已经确定好的人选发送电子邮件，要求更改现有的直接存款账户信息，并询问做这些更改所需的信息。受骗者在被要求提供包含新账户信息的作废支票时，通常不会有什么顾虑，大多时候都会提供相关信息。如果骗局成功了，被冒充的高管的薪资将会转移到攻击者持有的账户中。

Agari的研究员表示，薪资转移的方法不需要攻击者对付第三方系统，这使得他们能够更好地控制整个过程。

我们发现了这种类型的攻击以各类员工为目标，但是大部分攻击针对的是高管人员，因为相应的收益要高得多。

他说，这些攻击可成一定规模，因为攻击者可以针对不同公司的大量目标进行攻击。但是攻击者在同一个公司选择多个目标的可能性很低，因为会引起警惕。

BEC攻击已经存在了好几年，对大多数企业来说仍然是一个强大的威胁。最初，BEC攻击或者通过攻击者登陆企业高管账号，欺骗企业员工将资金电汇至攻击者自己的账户中，或者通过控制一个账户实现同样的目标。

随着组织机构对这类BEC骗局越来越熟悉，对手们也在不断翻新诈骗伎俩。例如在十二月，安全研究人员发现了一种新趋势，攻击者们通过冒充CEO接近办公室经理和其他具有类似权限的人，为员工购买卡礼品卡。尽管在美国，礼品卡形式的BEC攻击造成的损失相对较小——大约为100万美元，这类骗局说明了犯罪集团是如何不断尝试不同的诡计，试图进行商业诈骗的。

据FBI称，在2013年10月至2018年5月之间，BEC攻击在全球造成的损失约为120亿美元。FBI指出，这类骗局已经在150个国家被报道，并在持续增长和演变。联邦调查局将BEC描述为一种可以影响各大规模组织机构的威胁。

Hassold指出，BEC展示了网络攻击是如何越来越多的利用社交工程而非技术漏洞的。BEC已经成为了骗子们主要的网络攻击方式，因为这种方式很容易实施，而且只需要很低的技术要求。

更重要的是，通过BEC获利，并不需要很高的成功率。Hassold表示对于犯罪分子而言，即使只有千分之一的成功率，也能够获得数十万美元。

声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。