保护您的小型企业免受网络钓鱼攻击
已发表: 2021-07-27询问任何人，他们或他们认识的人都会经历过网络钓鱼攻击。 不仅如此，他们可能还认识一个实际上因此而赔钱的人。
网络钓鱼仍然是最常见的网络攻击类型，去年有 74% 的美国组织成功攻击。 不幸的是，小型企业特别容易受到攻击，因为它们通常缺乏防御这些攻击所需的资源和知识。
为什么黑客喜欢针对小企业？
通常情况下，小企业往往觉得网络安全与他们无关，因为他们没有他们认为黑客所追求的大量数据或金融资产，所以为什么还要花时间和精力来保护自己?
然而，这正是网络犯罪分子所依赖的那种心态，因为这些企业将无法实施有效的安全措施，使其成为黑客的软弱目标。 小公司不倾向于为其员工投资网络安全培训，因此旨在欺骗人们的网络钓鱼攻击在接收者不具备处理它的专业知识时更有可能成功。
对于某些攻击，小企业甚至不是最终目标。 黑客将小企业作为一个简单的切入点，这是通往供应链中真正奖励他们的大公司的垫脚石。 这些供应链攻击呈上升趋势，并且几乎总是从没有适当保护自己的网络防御的小企业开始。
网络钓鱼如何运作？
网络钓鱼攻击仍然是对企业最普遍的网络攻击类型之一，仅去年在美国就有 241,324 起事件。 英国政府 2021 年的网络漏洞调查还显示，网络钓鱼是排名第一的威胁媒介，占 83% 的攻击。
入侵一个系统需要时间和精力，但是让某人通过利用他们的信任和欺骗他们来让你访问这些系统要容易得多。 电子邮件网络钓鱼专门针对人类，通常使用社会工程技术诱使用户提供敏感信息或单击链接，从而触发在收件人系统上安装恶意软件或勒索软件。
您可能会成为大规模运动的一部分，也可能是对您组织的更具体、更深思熟虑的攻击。 在后一种情况下，黑客可能会使用有关您公司或其他员工的某些信息来使电子邮件听起来更有说服力。 这种类型的攻击被称为鱼叉式网络钓鱼。
商业电子邮件泄露案例使发现诈骗者变得特别具有挑战性，因为据您所知，您收到的是来自同事或业务合作伙伴的合法电子邮件。 这些类型的攻击被用来鼓励员工、客户或供应链上的任何人提供敏感数据或转移资金（这些资金当然会转入黑客的银行账户）。
对于参与网络钓鱼攻击的小型企业而言，财务损失可能会造成严重影响，但如果组织外部的人成为您公司的目标，情况可能会变得更糟。 如果黑客设法访问员工的帐户并向您的企业的供应商、客户或合作伙伴发送电子邮件，您可能会严重影响这些受信任的关系并因担心您的公司不安全而失去业务。
如何发现网络钓鱼攻击
我们都认为我们知道如何发现一封电子邮件，但今天的网络钓鱼电子邮件要复杂得多，需要更高级别的警惕性。
那么你能注意什么？
- 始终密切关注发件人。 欺骗域可能只是经过巧妙更改的受信任域，例如，一个“i”变为“1”
- 检查内容。 如果做出了可疑的承诺，并且看起来好得令人难以置信，那可能就是。
- 小心语气。 黑客经常在网络钓鱼电子邮件中使用紧迫性来说服您在您有机会思考之前采取行动。
- 拼写和语法。 正确的拼写和语法并不总是黑客的强项，所以明显的错误可能是垃圾邮件的标志。
BEC 诈骗通常更难被发现，因此在发送任何信息之前务必谨慎行事。 流行的骗局包括向客户发送假发票、冒充高层管理人员向员工索取钱款或冒充律师向客户索取钱款。 一般来说，建议您仔细检查收件箱中的任何汇款请求。
作为一个小企业，你能做什么？
员工培训
保护您的企业免受网络钓鱼攻击的关键是确保员工得到适当的培训，因为人为错误是网络钓鱼尝试成功的原因。 组织的 CEO 或所有者有责任确保员工在网络钓鱼攻击、如何发现它们以及遇到网络钓鱼攻击时获得正确的指导。
当一些用户可能在家工作时，培养一种安全和意识文化并确保员工拥有正确的知识尤为重要，因为在这些环境中的可见性和控制力较低。
安全策略是传达此指南并确保员工阅读和理解它可以成为员工入职流程的一部分的好方法。 网络安全练习也是测试这些知识的好方法——有很多在线练习可以免费使用，例如 NCSC 的“盒子练习”。 每月只需几美元，其他公司就可以提供网络钓鱼模拟等安全培训，您可以在其中跟踪员工的反应。
访问控制
通过减少整个公司的帐户权限来限制黑客可以利用的有价值的入口点的数量是有帮助的。 员工应该只能访问他们履行工作职责所需的内容。
这样，如果网络犯罪分子入侵了他们的帐户，他们就无法访问所有企业的敏感数据，并且可以控制违规行为。 管理员帐户应保留用于最高级别管理。 为了进一步保护您的帐户免遭破坏，请练习良好的密码安全性并确保激活多因素身份验证。
数据备份
定期备份组织内的所有敏感数据意味着，如果黑客确实设法通过网络钓鱼尝试获得访问权限，则不会丢失所有数据。 理想情况下，您的备份策略应满足三份副本的最佳实践：两份在不同的媒体上，一份在异地，所有备份都应加密以提高安全性。 您可以选择使用云提供商或外部驱动器进行备份，但无论采用何种方法，都应对其进行监控并定期检查以确保可以恢复。
安全软件
确保安全软件始终处于最新状态是防止违规和网络钓鱼攻击的必要条件。 这些通常设置为自动更新，但总是值得检查最新的补丁。 尽管员工培训将在网络钓鱼攻击预防中发挥最大作用，但额外的保护措施还是有用的，因为无论他们接受多少培训和网络警惕，你都不能总是保证人们会做对。
第三方安全解决方案可以在后台运行，监控用户的电子邮件活动、登录尝试和文件下载，因此可以快速发现和报告任何异常或被破坏的帐户。 这些可以帮助建立一个安全网，这样即使公司员工犯了错误，也不一定是灾难性的。
结论
保护您的组织免受网络钓鱼攻击不一定成本高昂或耗时，但对于中小型企业而言，采用分层方法至关重要，以确保员工接受正确的培训以及正确管理和配置软件以进一步构建你的辩护。
对此有什么想法吗？ 在下面的评论中让我们知道，或者将讨论带到我们的 Twitter 或 Facebook。