受新冠疫情影響，全球大部分企業(yè)開(kāi)啟遠(yuǎn)程辦公模式，企業(yè)對(duì)電子郵件的依賴也達(dá)到了前所未有的地步。與此同時(shí)，電子郵件也成為網(wǎng)絡(luò)犯罪分子的主要攻擊目標(biāo)，他們通過(guò)各種手段竊取敏感數(shù)據(jù)，并通過(guò)一系列復(fù)雜攻擊手段傳播危險(xiǎn)的惡意軟件。日前，北京網(wǎng)際思安科技有限公司麥賽郵件安全實(shí)驗(yàn)室（MailSec Lab）對(duì)過(guò)去一年全球郵件威脅狀況進(jìn)行研究與分析，并發(fā)布《2021年網(wǎng)際思安全球郵件威脅報(bào)告》（以下簡(jiǎn)稱“報(bào)告”）。
一、持續(xù)增長(zhǎng)的郵件威脅
根據(jù)凱捷研究院（Capgemini Research Institute）的《未來(lái)遠(yuǎn)程混合工作模式的挑戰(zhàn)和機(jī)會(huì)2021》報(bào)告，目前約40%的組織有超過(guò)70%的員工正在遠(yuǎn)程辦公，并且大約三分之一的組織期望他們的員工在未來(lái)的兩到三年內(nèi)有超過(guò)70%的比例遠(yuǎn)程辦公，而在疫情前，這一比例僅為十分之一。
圖1采用遠(yuǎn)程辦公模式的組織占比（來(lái)源：凱捷研究院）
報(bào)告數(shù)據(jù)顯示，全球郵件威脅總數(shù)量相對(duì)2020年同比上升4.4%，相對(duì)2019年同比上升56.3%。
圖2 2021年全球郵件威脅趨勢(shì)圖
具體來(lái)看，2021年各類別的郵件威脅概況如下：
•垃圾郵件在全球郵件總數(shù)量中的占比約為45%；
•在全球前十大垃圾郵件制造國(guó)中，俄羅斯仍然長(zhǎng)期排列第一位，制造了全球約四分之一的垃圾郵件；
•與我國(guó)域名“.cn”關(guān)聯(lián)的釣魚(yú)網(wǎng)站數(shù)量急劇增加；
•釣魚(yú)網(wǎng)站域名中，仿冒知名“門戶網(wǎng)站”和“在線購(gòu)物”網(wǎng)站的域名分列第一和第二位，兩者合計(jì)占據(jù)了接近50%的釣魚(yú)網(wǎng)站比例；
•通過(guò)微軟EXCEL類型文檔傳播病毒的數(shù)據(jù)急劇上升，占到所有病毒文件總數(shù)的39.19%；
•RAR和ZIP仍然是風(fēng)險(xiǎn)較大的兩種惡意壓縮文件類型，合計(jì)占據(jù)高達(dá)72%的比例；
•通過(guò)郵件傳播的僵尸網(wǎng)絡(luò)軟件類型總數(shù)，相對(duì)2020年同比上漲82%，每月新增約700個(gè)新僵尸網(wǎng)絡(luò)軟件類型。
二、垃圾郵件威脅
2021年，垃圾郵件在全球郵件總數(shù)量中的占比約為45%。其中在2021年6月經(jīng)歷了垃圾郵件的峰值，約占全球郵件總數(shù)量的48.03%。
圖3 2021年各月份垃圾郵件占比趨勢(shì)圖
而在全球前十大垃圾郵件制造國(guó)中，俄羅斯仍然長(zhǎng)期排列第一位，制造了全球約四分之一的垃圾郵件。
圖4 2021年各個(gè)國(guó)家的垃圾郵件占比
三、釣魚(yú)郵件威脅
在2021年，郵件中釣魚(yú)鏈接所使用的域名后綴中，“.com”和“.xyz”仍然排名前兩位，分別占據(jù)了29.17%和14.17%的比例。而與我國(guó)域名“.cn”所關(guān)聯(lián)的釣魚(yú)網(wǎng)站數(shù)量急劇增加，占比9.01%。
圖5 2021年與各類域名關(guān)聯(lián)的釣魚(yú)網(wǎng)站占比
而在黑客使用的釣魚(yú)網(wǎng)站域名中，仿冒知名“門戶網(wǎng)站”和“在線購(gòu)物”網(wǎng)站的域名分別排列第一和第二位，兩者合計(jì)占據(jù)了接近50%的釣魚(yú)網(wǎng)站比例。而金融類的“銀行”和“在線支付”分列第三和第四位，兩者合計(jì)占據(jù)了接近20%的釣魚(yú)網(wǎng)站比例。另外，社交類的“社交網(wǎng)絡(luò)與博客”和“即時(shí)聊天”分列第五和第六位。
圖6 2021年釣魚(yú)網(wǎng)站仿冒的行業(yè)類型占比
四、APT與病毒威脅
2021年通過(guò)微軟EXCEL類型文檔傳播病毒的數(shù)據(jù)急劇上升，占到所有病毒文件總數(shù)的39.19%。而因?yàn)槿蚍床《拒浖纳?jí)，曾經(jīng)在2020年占據(jù)高達(dá)46.48%傳播途徑的微軟WORD文檔類型，在2021年只占所有病毒文件總數(shù)的4.48%。但無(wú)論黑客攻擊手段如何變化，辦公文檔類型仍然是黑客喜歡的攻擊通道。
圖7 2021年通過(guò)郵件傳播的病毒文件類型占比
惡意文件通常會(huì)被打包在壓縮文件中，用于躲避對(duì)惡意文件的檢測(cè)。圖8展示了在2021年涉及惡意文件的壓縮包格式，其中RAR和ZIP仍然是風(fēng)險(xiǎn)較大的兩種壓縮文件類型，合計(jì)占比高達(dá)72%。
圖8 2021年通過(guò)郵件傳播的壓縮文件類型占比
在所有通過(guò)郵件傳播的惡意軟件中，用于盜竊受害者設(shè)備密碼的Agensla特洛伊木馬病毒占比較大（9.74%）。而偽裝成電子文檔的Badun特洛伊木馬病毒位居第二位（6.89%）。
圖9 2021年通過(guò)郵件傳播的惡意軟件類型占比
五、僵尸網(wǎng)絡(luò)威脅
僵尸網(wǎng)絡(luò)是指采用一種或多種傳播手段，將大量主機(jī)感染僵尸病毒，可用于網(wǎng)絡(luò)犯罪分子的各種活動(dòng)，包括發(fā)送垃圾郵件和進(jìn)行分布式拒絕服務(wù)攻擊。任何連接互聯(lián)網(wǎng)的設(shè)備都可能被攻擊，包括筆記本電腦、臺(tái)式電腦、智能手機(jī)、無(wú)線路由器等。
圖10 2021年每月新增僵尸網(wǎng)絡(luò)軟件類型的數(shù)量
報(bào)告數(shù)據(jù)顯示，2021年通過(guò)郵件傳播的僵尸網(wǎng)絡(luò)軟件類型總數(shù)，相對(duì)2020年同比上漲82%，每月新增約700個(gè)新僵尸網(wǎng)絡(luò)軟件類型。
六、2022年郵件安全預(yù)測(cè)
該報(bào)告對(duì)2022年郵件安全威脅趨勢(shì)展開(kāi)如下預(yù)測(cè)：
1.更嚴(yán)格的郵件安全合規(guī)監(jiān)管
2021年，《數(shù)據(jù)安全法》和《個(gè)人隱私保護(hù)法》相繼頒布?？梢灶A(yù)見(jiàn)的是，針對(duì)兩項(xiàng)新法律的具體監(jiān)管措施都將在2022年逐步落地。而郵件作為數(shù)據(jù)和個(gè)人隱私保護(hù)不可分割的一部分，必將面臨更嚴(yán)格的郵件安全合規(guī)監(jiān)管。
2.采用AI驅(qū)動(dòng)的郵件威脅防護(hù)技術(shù)
人工智能技術(shù)已經(jīng)在網(wǎng)絡(luò)安全行業(yè)的其他領(lǐng)域證明了其有效性和預(yù)測(cè)性。而針對(duì)郵件威脅防護(hù)，人工智能技術(shù)無(wú)論是通過(guò)行為分析對(duì)當(dāng)前郵件威脅的識(shí)別，還是通過(guò)大數(shù)據(jù)分析技術(shù)對(duì)未來(lái)威脅的預(yù)警都有很大優(yōu)勢(shì)。2022年，更多的企業(yè)將積極采用AI驅(qū)動(dòng)的郵件威脅防護(hù)技術(shù)來(lái)提升防護(hù)效率。
3.針對(duì)云郵箱的威脅持續(xù)增長(zhǎng)
隨著新冠疫情的延續(xù)和遠(yuǎn)程辦公需求的持續(xù)增加，2021年云郵箱賬戶數(shù)量持續(xù)大幅度增長(zhǎng)。而云郵箱因?yàn)樘幱谄髽I(yè)外網(wǎng)，缺乏防火墻、IDS/IPS和郵件安全網(wǎng)關(guān)的防護(hù)，更容易被黑客滲透攻擊。根據(jù)對(duì)過(guò)往數(shù)據(jù)的分析，MailSec Lab預(yù)測(cè)2022年針對(duì)企業(yè)云郵箱的攻擊將成倍增長(zhǎng)。
4.辦公文檔仍然是病毒的較大載體
微軟Office辦公文檔已持續(xù)多年成為病毒傳播的較大載體，占據(jù)了近50%的比例。隨著遠(yuǎn)程辦公的持續(xù)增長(zhǎng)，如何準(zhǔn)確識(shí)別郵件附件中的惡意辦公文檔，仍然是IT管理員需要關(guān)注的點(diǎn)。
5.訂閱式云郵件安全服務(wù)將持續(xù)增長(zhǎng)
因?yàn)橹行∑髽I(yè)在郵件威脅防護(hù)方向的資金投入有限，而日益復(fù)雜和頻繁的郵件威脅攻擊導(dǎo)致很多企業(yè)難以應(yīng)對(duì)。我們預(yù)測(cè)2022年訂閱式云郵件安全服務(wù)將持續(xù)增長(zhǎng)，在全球經(jīng)濟(jì)不景氣的情況下，它可以為中小企業(yè)提供較具性價(jià)比的選擇。
6.威脅情報(bào)輔助的郵件安全
郵件安全相關(guān)威脅情報(bào)的應(yīng)用將更加成熟，從只是簡(jiǎn)單的郵件服務(wù)器日志分析，逐步過(guò)渡到應(yīng)用于郵件威脅的實(shí)時(shí)分析和對(duì)攻擊行為的研判。威脅情報(bào)的應(yīng)用將進(jìn)一步提升郵件威脅判斷的實(shí)時(shí)性、準(zhǔn)確性和全面性。
