培訓也培訓過了，模擬網絡釣魚測試也測試過了，海報、游戲、電子郵件等等各種提醒方法都用遍了，但員工們依舊數年如一日地被同樣的騙術耍得團團轉。簡直快把安全團隊逼瘋了。
威瑞森《2016數據泄露調查報告》指出，30%的網絡釣魚消息都被它們的既定目標打開了，其中12%的收家還會繼續點擊惡意附件或惡意鏈接，讓攻擊得以完美收官。1年前，只有23%的用戶打開了那些郵件，也就是說，員工對釣魚郵件的分辨力甚至還下降了，或者，壞蛋們找到了更有創意的方法引誘用戶。
由人為失誤引起的安全違規后果比以往更為嚴重。首先，勒索軟件的頭號拐點，就是通過網絡釣魚攻擊進行。進而，一小撮網絡黑幫不斷擴展他們的網絡，向更多用戶投遞更多騙局，引來更多上鉤的魚兒。
邁卡菲實驗室2016年9月威脅報告指稱，今年上半年，僅一個勒索軟件網絡黑幫就成功斂取1.21億美元贖金，凈利潤9400萬美元。2016上半年勒索軟件比去年同期增長了128%。有130萬新勒索軟件樣本被記錄，創邁卡菲自開始追蹤以來新高。
看一看員工們至今仍會落入陷阱的5大社會工程騙局，便不難看出它們的引誘力?？芍^涵蓋了大多數員工都有的社會工程七宗罪：好奇、禮貌、輕信、貪婪、輕率、羞怯和冷漠。
很多安全事件都可歸罪于人類本性，但還是有方法可以幫助員工改掉壞習慣，避免上當。
1. 看起來挺正式
看起來與工作相關的貌似正式的電子郵件——主題行一般是“發票附上”、“您需要的文件”、“請看一下簡歷”等等。這種郵件依然有員工會被迷惑。
Wombat Technologies 進行的一次調查發現，員工在收到涉及禮品卡通知或社交網絡賬號之類的“消費者”郵件時，會比對看起來工作相關的郵件更為警惕。顯示“緊急電子郵件口令修改請求”的主題行，有28%的平均點擊率。
大多數人都不仔細檢查郵件出處就點開了，然后他們的機器便可能被黑客拿下，或者感染病毒。
尤其是你正與分包商或合作伙伴就某項目交換文件時，真的應該用安全文件傳輸系統，以便確切知道文件來源，明確該文件已被審查過。收家應該特別小心那些要求用戶開啟宏的文件，這有可能導致整個系統被接管。
缺少安全文件傳輸系統的情況下，用戶應在點擊之前，將鼠標懸停在電子郵件地址和鏈接上方，檢查發家和文件類型的合法性。
2. 您錯過了一條語音信箱消息！
自2014年起，騙子就一直試圖通過看起來像內部語音信箱服務消息的電子郵件安裝惡意軟件。公司企業常會設置系統轉發音頻文件和消息給員工，這很方便，但用戶難以識別出網絡釣魚騙局。
如今，語音信箱都偽裝成微軟或思科類的了。員工進到收件箱，發現有一封語音消息錯過了，然后就點開了附件。誘騙器能捕捉到幾乎任何人，不僅僅是會收到發票欺詐郵件的會計部門。
3. 免費的東西
大多數員工都抵擋不住免費物品的誘惑——從披薩到演唱會門票到軟件下載，他們會點擊任何鏈接以得到這些免費的東西。
但是，沒什么東西是真正免費的。‘免費軟件’這種鏈接屢見不鮮?；蛟S真的是已經免費下載的東西了吧，但若通過騙子的網站發送給你，你收到的或許就是帶病毒或木馬的軟件了。
除此之外，很多此類下載站點都會捆綁軟件，你會下載到根本不需要的其他東西。如果這些東西破壞了你的安全設置，那你剛剛就是打開了潘多拉魔盒，后果無法估量。
看到這種免費午餐，最好檢查一下自家公司是否已經購買了該軟件的許可，或者是不是真的免費軟件，然后直接去軟件廠商官網下載。
4. 虛假LinkedIn邀請和站內信
常見騙局之一，涉及到用LinkedIn虛假賬戶進行信息收集。
比如說，某人建立了虛假LinkedIn賬號，偽裝成某項目團隊已知成員，甚或公司高管。賬戶資料看起來非常合法，此人也確實在這家公司工作。偽裝者與你聯系，你接受之后便開始了交流。作為雇員，被公司高管聯系上是一件很值得高興的事，于是，不知不覺中，你就透露了很多公司的敏感或私密信息。同時，這些信息會被用于更大型的對公司敏感信息的收集活動中。
專家建議，如果有同事要求建立社交網絡上的聯系，最好向他們的合法工作電子郵件發消息詢問是否有這么一回事。這是讓你免去麻煩的一個簡單易行的辦法。
5. 上班時間玩社交媒體
常刷朋友圈、推特、臉書和其他一大堆社交媒體站點的員工，很容易為網絡大盜開啟方便之門，因為此類騙局不用費多少勁，且社交媒體也是員工意識培訓的新領域。
從壞蛋的角度想想投資回報率(ROI)：發釣魚郵件大概有千分之一的幾率釣到，但首頁一個更新，就有無數魚兒上鉤。
社交媒體的網絡風險依然是員工理解最少的領域——該領域安全意識的問題有31%的錯誤率。然而，76%的受訪公司，允許員工在工作設備上使用社交媒體?？紤]到該領域安全意識的缺失，這會令公司處于嚴重風險籠罩之下。
或許，公司企業在這方面表現糟糕，是因為社交媒體是個相對較新的領域。員工組成也相對年輕一些。業內有種思潮認為，這些年輕員工會點擊任何鏈接。大概，確實有些關系吧。
京公網安備 11010502049343號