別把“郵件安全”不當回事兒

在企業發展運營中，郵箱密碼洩漏或郵件伺服器遭到侵入，郵件資訊將會被利用進行惡意攻擊、資料竊取倒賣、欺詐等現象尤其嚴重。

企業使用者郵箱賬戶密碼被盜後，通常被用於傳送垃圾郵件，或向企業內部傳送欺詐郵件，以盜取更多的郵箱賬戶，或被用於更加高階的商業欺詐，如誘騙財務人員匯款，給合作伙伴或客戶傳送虛假資訊等。

更惡劣的是侵入郵件系統，利用系統漏洞用於企業內網攻擊，駭客利用被盜郵箱所持有的企業內網訪問許可權，對企業內部實施攻擊，竊取大量企業重要資料。

國內有安全團隊，針對某些企業的郵件系統的異常情況進行調查，結果發現攻擊者至少先後盜取和控制了29家企業的數千個企業郵箱。被這個攻擊者控制的企業郵箱中，有9家屬於製造業企業，7家屬於網際網路公司，另有通訊企業3家，事業單位和金融證券類企業各2家。

郵件系統被攻擊，郵箱密碼洩露，內部員工疏忽大意或有意，都會將企業的機密資料洩露，造成企業鉅額損失。

案例一

2014年1月24日，王華向某供應商傳送郵件時，王華因操作失誤將維美德公司的所有產品報價單及客戶資料洩露給了供應商。

維美德公司認為，王華曾系維美德公司標準件採購部主管，掌管維美德公司的報價清單及全部客戶資料等商業秘密，王華應對維美德公司承擔保密義務。

王華多次將維美德公司的價格清單及全部客戶資料透過電子郵件傳送至外部郵箱，洩露了公司的商業秘密。維美德公司將王華告到了西安中院，要求王華賠償公司損失50萬元。

案例二

2017年9月26日， 全球四大會計公司之一德勤被黑，大量客戶郵件遭洩露。

Deloitte（德勤）公司認為這個身份不明的攻擊者，也許早在2016年10月或11月份就已經入侵了他們的電子郵件系統。這名攻擊者透過使用一個管理員賬號成功獲取到了Deloitte（德勤）公司電子郵件伺服器的訪問權，且該系統並沒有部署任何的雙因素身份認證機制（2FA），從而導致攻擊者能夠不受任何限制地訪問Deloitte（德勤）的微軟郵箱。

致使Deloitte（德勤）24.4萬員工與客戶之間的往來郵件都處於危險之中。在此期間，德勤內部郵件中交流的安全政策，審計日誌以及各種法務和財務資訊，都處於駭客監控之下。

由此可見，企業郵件存在著諸多安全隱患，造成的損失將可能是無法彌補的，因此其安全防護必須受到足夠重視，企業 又該 防範的呢？

隨時更新作業系統在開發作業系統時，大多陣列織的重點是開發高階安全功能，以保護使用者資訊。谷歌，微軟和蘋果等頂級作業系統公司在軟體工程師的幫助下，保持了以前版本的安全級別。更新版本確保保護使用者的資料，並透過利用技術防止網路犯罪分子竊取資料。因此，請確保企業的PC“正確修復和更新”以確保企業的資料安全。定期重新整理企業的專案將幫助企業填補任何安全漏洞，從而按時解決潛在問題。
2.加強員工培訓讓所有新員工接受資料安全方面的培訓，並要求所有員工在每年年初參加進修課程，以確保最新的安全準則能夠讓他們牢記於心。儘管這類培訓可能很乏味，但卻是必不可少的，而且只需很短時間即可涵蓋基本細節。例如，員工應當：要將所有裝置（例如桌上型電腦、膝上型電腦、平板電腦、電話）視為能夠藉此侵入組織系統的跳板；切勿寫下或留下密碼記錄，以防被別人尋獲；對來自未經驗證的人的電子郵件或電話進行安全驗證，要求輸入密碼或其他認證資訊等等。還應包括建立一些最新的違規統計資訊，以幫助員工理解威脅的嚴重程度和普遍性，以及可能對組織帶來的嚴重後果。
3.模擬網路釣魚攻擊許多安全問題是由人為錯誤導致的，例如員工無意間單擊惡意電子郵件中的連結。魚叉式網路釣魚攻擊（即針對特定目標的網路釣魚攻擊）導致員工中招的可能性更高，因為它們針對的是特定人員。這些訊息可能引用了與某些部門或常規工作職能高度相關的資訊，例如財務部門收到來自假冒某銀行的關於組織財務方面的郵件，人力資源部門收到來自招聘網站的特定的人才招聘資訊的郵件等等，更容易矇蔽員工並誘導其點選這類的釣魚郵件連結。
免費或付費的網路釣魚模擬器可以讓組織透過傳送某些特定的電子郵件來測試員工對網路釣魚電子郵件的辨別能力，當有人點選了這些訊息時，組織將對其進行警告。透過使用這類模擬器，組織可以對員工進行積極的培訓，以幫助他們提高對網路釣魚攻擊的應對能力。切記，要提醒員工如果遇到無法100%確保郵件絕對安全的情況下，都要慎之再慎。而如果員工遇到熟悉的發件人發來的郵件，看上去有些不正常時，那麼就要及時通知組織的IT人員來進行檢查。
4.做好基礎安全防護例如企業網站部署SSL安全證書，企業郵件部署郵件證書等等，做好最基礎的安全防護工作，避免因小失大。相比於通訊方身份和資料完整性無法驗證的HTTP協議，HTTPS是一個基於HTTP的安全通訊通道，它運用安全套接字層(SSL)進行資訊交換，具有身份驗證、資訊加密和完整性校驗的功能，可以保證傳輸資料的機密性和完整性，乃至伺服器身份的真實性，進而有效避免HTTP被劫持的問題。

同樣的，郵件證書對電子郵件進行數字簽名並加密傳輸，一方面可以保證郵件傳送者身份真實性，另一方面保障了郵件傳輸過程中不被他人閱讀及篡改，並由郵件接收者進行驗證，確保電子郵件內容的完整性。

文章來自 網