网络犯罪分子针对普通用户的最常见手段有哪些？
根据报告，网络犯罪分子主要通过社会工程学手段针对普通用户，其中网络钓鱼和借口攻击是最突出的威胁。攻击者经常使用欺骗性电子邮件和恶意网站来操纵人类行为，改变目标的行动以窃取机密信息。
这些攻击活动的主要目标通常是窃取凭证，报告将其描述为“数据类型中的糖霜甜甜圈”，因为它们备受攻击者青睐。一旦获取，这些被盗凭证就会被用于黑客攻击，以未经授权的方式访问基于云的电子邮件系统、邮件服务器和企业Web应用程序。
另一种普遍的社会工程学威胁是商务邮件入侵（BEC）。在这些攻击中，网络犯罪分子严重依赖借口攻击——精心编造复杂的虚假场景——来诱骗员工发起欺诈性金融交易或电汇。
最后，用户还会成为通过电子邮件传播的恶意软件（如木马或后门）的目标，同时简单、非恶意的人为失误——如误发（将敏感数据发送给错误的收件人）或配置错误——也经常在没有攻击者直接参与的情况下暴露敏感的个人或凭证信息。
黑客在攻击组织时究竟想要什么？
从根本上说，绝大多数威胁行为体都受到一个单一、直接的欲望驱使：经济利益。出于经济动机的攻击仍然是数据泄露背后最常见的动机，而有组织犯罪仍然是主要的威胁行为体类型。
为了实现这一经济目标，网络犯罪分子会针对特定类型的宝贵资产和数据：
凭证：凭证是数据泄露中最受追捧的数据类型。攻击者觊觎凭证，因为它们能让人轻松访问组织的网络、云邮件服务器和Web应用程序。一旦获取，凭证便会被用于在内部进行横向移动，并扩大攻击者在受害者系统中的控制范围。
个人与银行数据：个人数据（包括社会安全号码、地址、姓名和保险信息）是第二大目标数据类型。攻击者青睐这些信息，是因为它们在犯罪论坛上具有很高的转售价值，并且可用于实施下游金融欺诈。
运营控制与勒索（勒索软件）：攻击者不再单纯以支付卡数据为目标，而是越来越专注于窃取任何会影响受害者运营的组织敏感数据。在日益普遍的“点名羞辱”策略下，攻击者会在加密系统之前窃取这些敏感数据的副本，并威胁要在互联网上公开，以迫使组织支付赎金。
基础设施再利用（次要动机）：在其他情况下，攻击者受次要动机驱使，其最终目标是利用受害者的访问权限、基础设施或Web应用程序。他们以这些系统为目标来分发恶意软件、托管篡改页面，或为未来的攻击活动建立命令与控制访问权限。
虽然间谍活动、个人恩怨、意识形态或贪图便利等其他动机偶尔也会出现，但追求经济利益的动机占据了绝大多数。
遭受网络攻击是否总是意味着经济损失？
不，遭受网络攻击并不总是意味着经济损失。 根据美国联邦调查局互联网犯罪投诉中心（IC3）的数据，很大一部分安全事件实际上并未造成任何直接经济损失。具体而言，42%的商业电子邮件妥协（BEC）事件、76%的计算机数据泄露（CDB）事件以及90%的勒索软件攻击未造成任何经济损失。
此外，当报告作者使用1,000次蒙特卡洛模拟来模拟总体泄露成本时，14%的模拟泄露完全没有造成任何财务或运营影响。即使考虑到取证调查和法律指导等相关的泄露后费用，许多组织也能幸免于难，无需支付这些账单：在分析的事件中，50%没有数字取证费用，36%没有相关的法律费用。然而，当损失确实发生时，它们并非“一刀切”的类型，实际财务影响在很大程度上取决于组织规模、攻击性质以及受害者能否迅速与执法部门合作冻结被盗资金等因素。
为什么人为因素仍然是数字安全中最薄弱的一环？
85%的已确认安全泄露事件都涉及人为因素，这使其成为攻击者和防御者共同关注的主要焦点。
根据该报告，这种脆弱性之所以持续存在，是由于以下几个关键因素：
欺骗性骗局和操纵性故事：攻击者广泛利用网络钓鱼和借口编造等社会工程学手段，从心理上攻破个人防线并改变其行为，使其交出敏感访问权限。对手并非针对系统漏洞，而是经常诱骗员工交出备受觊觎的凭证或发起欺诈性电汇。
错误的持续存在：无意的人为行为仍然是安全领域挥之不去的“友敌”。员工经常会大规模犯错，例如错误配置数据库、出现发布错误，或将电子邮件和纸质文件发送给错误的收件人。
传统安全教育的局限性：传统的安全意识培训往往以失败告终，因为它没有模拟现实生活中的情境，也没有契合实际导致安全漏洞的行为。有效的安全需要转向行为科学，并塑造一种企业文化，以应对驱动个人习惯的组织价值观、态度和信念。
检测与意识滞后：针对人员的攻击面临的一个重大挑战是，当员工落入骗局时，他们很少意识到自己已经上钩。绝大多数此类事件是由外部机构发现的，这表明组织缺乏便捷且广为人知的内部渠道，导致员工无法发挥早期预警系统的作用。
归根结底，虽然技术可以拦截许多威胁，但管理现代“认知危害”仍然取决于组织系统性地调整人员行为的能力。
安全团队应该关注日常常规威胁，还是罕见的灾难性异常事件？
根据报告，理想状态下经过优化的安全策略是针对常规情况设计解决方案，并培训安全运营团队来处理异常事件。
报告中分析的数据表明，威胁态势高度不均衡，其特征是顶端存在少数常见的威胁类型（即“常态”），以及一条由罕见、异常和不常见攻击组成的“长尾”（即“例外”）。安全团队无需下一代人工智能或预测性神经网络来识别常态；他们可以轻松识别并据此制定计划。相比之下，试图为长尾中每一个可能的例外构建工程化解决方案，并不是明智或具有成本效益的组织资源使用方式。
相反，组织应依靠人类安全团队与生俱来的灵活性，在罕见例外偶尔出现时充当适应性问题解决者。安全团队不应为罕见的、颠覆范式的威胁载体而恐慌，而应专注于“做好基础工作”——例如强大的补丁管理和访问控制——这将成功抵御最有可能影响组织的绝大多数问题空间。
数据窃取是如何取代加密成为终极勒索软件战术的？
从简单加密向数据窃取作为主要勒索软件战术的转变，是由网络犯罪分子面临的一个重大障碍推动的：组织越来越拒绝支付赎金，通常是因为他们拥有足够的数据备份解决方案来恢复系统。这一趋势凸显在这样一个事实中：在分析的勒索软件事件中，90%未造成任何财务损失，这意味着受害者成功规避了文件被锁定的威胁。
为了重获筹码，威胁行为者不再仅仅锁定系统，而是转向“点名曝光”策略。这一策略始于2019年底的Maze团伙，如今已司空见惯。在这种模式下，攻击者会实施报告中所称的“入侵双重获利”。在触发任何加密操作之前，他们首先会窃取该组织敏感运营数据的副本。
如果受害者拒绝支付解密赎金，攻击者便会威胁公开被盗文件，并经常利用其自行开发的专用基础设施来托管这些企业泄露数据。因此，网络犯罪分子已不再单纯瞄准支付卡数据，而是广泛针对任何会严重影响机构运营的敏感数据，并以公开曝光相威胁，迫使机构付款。这种战术演变解释了为何勒索软件的发生率翻了一番多，在所有已确认的入侵事件中占比达10%。
来源机构：Verizon
本内容用于研究报告阅读与理解，不构成投资建议或交易信号。
在 App 深度阅读研报
精选全球权威机构研报，结构化多语言阅读，支持可信溯源。
本内容用于研究报告阅读与理解，不构成投资建议或交易信号。