七个邮箱泄漏“惨案”给我们的启示

【黑客入侵财务系统示意图】

由此可见，虽然邮箱本身泄露也许并不能造成经济损失，但是鉴于邮箱系统和其他系统千丝万缕的联系，黑客几乎总能找到一种方法渗透到你的核心网络，取你的身家性命。

如果这家中国企业被骗了几百万，看客们还觉得不够刺激，那么请看下面这个故事。

FACC 被黑客转走 5000 万欧元，CEO 引咎辞职——企业才是邮箱泄露的重灾区

2016年初，专为波音公司生产零部件的航天零部件公司 FACC 遭到了黑客攻击。

黑客的突破口恰恰也是公司内部的办公邮件系统。他们先是利用钓鱼邮件搞定了公司重要人员的企业邮箱，然后入侵了财务会计系统，接下来毫不犹豫地从账面上转走了 5000 万欧元。

五千万欧元，体会一下这个数字有多大。

【帮你体会五千万欧元有多少的图片】

仅仅因为高管手抖，点了一封钓鱼邮件，就让公司的股价当天直接跳水 17%，不用说，公司的首席执行官和首席财务官都因为这件事而引咎辞职。

另外值得一提的是，FACC 这个公司并不像听起来那样离我们很遥远，虽然它地处奥地利，但是它的股份被中航工业收购。实际上，它算是一家中国公司。

理论上来说，黑客能够把钱转走，意味着他们已经对公司的系统实现了全面的控制，他们同样可以看到机密的图纸、商业计划。这些隐性损失是没有办法计量的。

相比之下，个人邮箱泄露导致的电信诈骗损失金额，都算是九牛一毛了。这也是为什么黑客喜欢对企业用户下手的原因。

员工弱密码——大部分泄露都源于“作死”

一个中国企业的网络管理员曾经做过测试，向内网中30000名员工发送邮件，内容非常简单：

我是管理员，我需要你的账号和密码。

结果，有600多名员工不问青红皂白就直接把密码发来，这其中包括副总裁，秘书，高级总监。雷锋网感到了满满的信任。。。可想而知，如果这个邮件是黑客发的钓鱼邮件，企业将会沦陷。

然而，很多企业连这个水准都没有达到。因为对于企业邮箱，员工一般会使用比较简单的密码，也就是“123456”这类弱密码。

【十大弱密码】

根据 360 发布的报告，攻击者只需要掌握十个最常用的密码，就能用它们打开全国十分之一的企业邮箱。而很多企业并没有对密码尝试次数做基本的限制，也就是说黑客可以在一天时间内用成百上千的密码来尝试登录你的邮箱，直到成功为止。

对于企业 CEO 来说，就算他能呼风唤雨，也很难让手下的所有员工使用用数字字母混排的强密码。就算使用了强密码，也很难保证员工这些通用的密码不会在其他的电商、交友平台被泄露。

正是这些看上去无伤大雅的密码习惯，让员工把企业推到了作死的地步。

某金融企业邮箱对外发送垃圾邮件——被寄生可能无感觉

事实上，鉴于企业邮件安全漏洞百出，很多企业邮箱已经被黑客“常驻”，但所有的人都不知情。

某国内知名的金融企业，2015年4月的一个晚上突然有 200 多个企业邮箱在异地登录，向外发送了大量的赌博和发票的垃圾邮件。虽然经过紧急处置，但还是有170封被成功发出了。

这对于金融企业的声誉来说，简直是巨大的打击。

然而，就在这件事情平息四天后，黑客故伎重演，又对外发送了一百多封赌博广告邮件。

经过溯源，安全研究员发现，其实黑客早在半年前就通过木马和钓鱼邮件控制了企业邮箱系统。经过长期的盘踞“经营”，黑客已经安插了很多方便自己出入的后门。这个黑客组织不仅仅针对一家企业，而是对众多国有企业进行钓鱼攻击。最终发现至少29家企事业单位的邮件服务系统被攻陷，涉及帐号数千个。

【被某黑客组织“拿下”的企业各行业占比】

根据专家的介绍，类似于希拉里邮件门的事件，在中国也曾经发生过：某重要部委的邮箱系统长期被美国方向的黑客控制，幸好最终被安全人员发现，否则将会造成更大的损失。

时代华纳和 JTB 旅行社——你的邮箱泄露可能是“躺枪”

2016年初，美国最大的有线电视公司时代华纳突然被爆出32万用户邮箱泄露。这件事情的蹊跷之处在于：时代华纳并不认为自己的服务器存在漏洞。

所以，专家推测这些数据有可能是从和时代华纳有合作的第三方公司泄露的。

黑客拿到用户的邮箱以后，可以进行有针对性的欺诈，甚至用这些邮箱密码组合尝试登录其他服务。

让人震惊的邮件攻击此起彼伏。

2016年7月，日本旅游业巨头 JTB 旅行社被黑客入侵。官方声称攻击的来源是一次有针对性的电子邮件钓鱼行动：一位公司的员工打开了一个全日空公司的旅行预定要求。这个看起来很正常的邮件，附带了一种 Word 文档，其中被植入了名为“PlugX”的极其隐蔽的木马。从这个附件开始，黑客的触角逐步渗透到公司的数据服务器。

这次泄露，导致黑客窃取了公司 793 万条护照、家庭住址和电子邮箱地址信息。

这些泄露事件说明一个让人绝望的事实，那就是即使作为个人很好地保护了自己的密码，也难免被服务商这样的“猪队友”出卖。

我们怎么办？

事实上，说到邮件防护水平，全球都很差，但中国尤其差。

根据 360 互联网安全中心的预测，2017年中国邮箱安全事件会大规模爆发，以下是预测数据：

• 邮箱盗号，影响企业600万+，50%的企业都会遭遇邮箱盗号攻击

• 机密信息窃取，影响企业10万+，多数情况下企业是不知情的

• 利用邮箱盗号进行的商业欺诈，经济损失 50亿RMB+

• 利用邮箱传播敲诈者病毒造成的经济损失  2亿RMB+

看来，邮箱泄露有一万种姿势。难道我们束手无策吗？裴智勇博士认为，在企业邮箱里推广双因子认证，是目前来看有效的办法。

所谓双因子认证，简单来说就是除了密码之外，再加入额外的一个认证因素。这个认证因素可以是手机短信，也可以是 App 上的动态密码口令。

这种情况下， 即使密码发生了泄露，黑客也无法轻易地登录受害者邮箱。根据这个思路，360 也开发出了一套企业邮箱安全产品。如果你是一位重视企业邮箱安全的 CEO，也许愿意尝试一下。