回顧2013，電子郵件安全防御趨勢已不再是如何避免垃圾郵件造成產(chǎn)能的浪費，黑客已將其精神轉(zhuǎn)投注于高效益的社交工程攻擊郵件上，這類社交攻擊郵件大多重質(zhì)不重量，內(nèi)容往往讓使用者正中紅心，落入黑客圈套，因此企業(yè)更加重視威脅郵件的防御。
回顧2013年，常見的社交工程攻擊郵件手法有下列幾種：
偽造社群網(wǎng)站通知信
隨著社群網(wǎng)絡(luò)越益發(fā)達，來自社群網(wǎng)站上邀請您加入好友的通知信，到底該不該加入？能不能點擊其中的超鏈接、附加檔案？建議您三思而后行！許多的惡意攻擊郵件假冒知名社群網(wǎng)站通知信，在其中放入了釣魚網(wǎng)站的連結(jié)、惡意檔案，目的是要竊取您的個資或取得您計算機的所有權(quán)。而部份由黑客發(fā)出的單純交友邀請并沒有放任何的惡意鏈接或程序，與您「交朋友」只為了觀察您的生活習慣，拼湊出您個人的信息地圖，之后再做進一步利用。
常用辦公文件成為黑客入侵的工具
早期夾帶的惡意附件往往都是很明顯的病毒執(zhí)行文件；經(jīng)過演化，病毒執(zhí)行文件變成壓縮文件并加密，為的是避開防病毒軟件的偵測；而現(xiàn)在最流行的作法則是在電子郵件中置入一般認為安全的文件檔，如。doc、。xls、。pdf、。html…等，或?qū)⑦@些攻擊程序放在網(wǎng)絡(luò)上，電子郵件內(nèi)容僅放置簡單的下載連結(jié)，這不僅能縮小攻擊郵件的體積，還能躲過大部份的惡意軟件檢查，若再冒名為網(wǎng)絡(luò)管理員或社群網(wǎng)絡(luò)的來信，攻擊成功的機率將大幅提升！
利用郵件來竊取電子郵件帳密
較常見的是直接偽造成系統(tǒng)管理者發(fā)出的郵件，請使用者點擊網(wǎng)址修改賬號密碼，進而獲得使用者郵件帳密；另一種竊取方法，是直接以SMTP認證的方式進行密碼猜測。根據(jù)ASRC垃圾訊息研究中心的統(tǒng)計，一般企業(yè)在一日內(nèi)平均每十分鐘約有4-10次無聲無息的密碼猜測嘗試。多數(shù)人認為，只要將密碼的長度加長、混合符號、數(shù)字與英文大小寫，再加上密碼嘗試次數(shù)的限制便可防止密碼遭到破解，事實不然！用戶為避免忘記密碼，常用方便聯(lián)想的方式建立密碼。如Adobe近期公布，在3800萬用戶中有近200萬用戶使用”123456”為密碼，這些大家慣用且熟悉的密碼，已經(jīng)在黑客猜測的密碼列表中，另外像是「P@ssw0rd」，即使符合密碼原則，但可能只要嘗試猜測十次以內(nèi)，便遭破解。
移花接木的詐騙匯款郵件
郵件內(nèi)容與例行執(zhí)行的合約或交易有關(guān)，內(nèi)容格式多半都與過去往來常用的格式雷同。甚至黑客直接攔截正在商談的商業(yè)郵件，復(fù)制其內(nèi)容并竄改連絡(luò)管道信息、匯款帳戶信息后，以移花接木的手法發(fā)出詐騙郵件。追蹤發(fā)現(xiàn)許多遭受商業(yè)詐騙攻擊的企業(yè)，都有內(nèi)部數(shù)據(jù)外泄的問題，而主要外泄的管道是企業(yè)或私人的電子郵件信箱。
偽冒的語音留言郵件
假冒微軟發(fā)送的郵件，其并未夾帶任何惡意檔案，取而代之的是一個假的語音留言下載鏈接。當收件人收到這個郵件時，由于這個信件假冒微軟的名稱，而且在信件內(nèi)容又標示出將下載的檔案為。wav檔，很容易讓人不查而誤點連結(jié)。當點擊該惡意鏈接之后，會導(dǎo)向一個帶有惡意JavaScript的網(wǎng)頁，瀏覽器執(zhí)行之后則可能會對瀏覽器的弱點進行攻擊，或是徑自下載惡意軟件誘騙用戶點擊，其惡意攻擊的方式非常多樣，其中也包括了最新的Java漏洞攻擊（CVE-2012-4681）。
Cryptolocker勒索病毒郵件侵襲
這只病毒不同于過往病毒的模式，它發(fā)病后并不會將計算機數(shù)據(jù)摧毀，而是將重要的數(shù)據(jù)全都加密，并要求受害人在72小時內(nèi)支付「贖金」，否則就再也無法解密計算機中的數(shù)據(jù)。
中華數(shù)字科技提醒，預(yù)防社交工程郵件攻擊建議做到以下幾點：
1.建置并定期更新的垃圾郵件、計算機病毒過濾機制
2.定時更新計算機與軟件的漏洞修補
3.定期掃描密碼強度，以防止內(nèi)部漏洞讓黑客有機可趁
4.保持警覺，不隨意開啟不明郵件中的附件檔案
5.定期舉辦內(nèi)部社交工程演練及教育訓練，提升使用者資安意識
