本文來(lái)自微信公眾號(hào)“嘶吼專業(yè)版”，作者/~陽(yáng)光~。
最近的數(shù)據(jù)分析顯示，第三方應(yīng)用程序與電子郵件平臺(tái)的整合力度大幅增加。這一趨勢(shì)凸顯了網(wǎng)絡(luò)犯罪分子正在利用新的漏洞途徑迅速擴(kuò)張，這也表明他們的攻擊策略正在不斷的演變。
在全球的企業(yè)中，軟件即服務(wù)（SaaS）應(yīng)用程序的存在數(shù)量不斷增加。員工為外部應(yīng)用程序提供權(quán)限，使其能夠訪問Microsoft 365(M365)和Google Workspace等基本SaaS平臺(tái)。
這一趨勢(shì)也帶來(lái)了很多的安全漏洞。同時(shí)，安全人員和組織也很難監(jiān)控連接的應(yīng)用程序的數(shù)量或評(píng)估這些應(yīng)用程序所帶來(lái)的安全威脅的程度。在2023年的最初的六個(gè)月（1月至6月）中，第三方應(yīng)用程序的整合力度呈穩(wěn)步上升的趨勢(shì)。
與此同時(shí)，Abnormal還注意到企業(yè)電子郵件泄密(BEC)和供應(yīng)商電子郵件泄密(VEC)攻擊事件也在持續(xù)不斷的升級(jí)。這種增長(zhǎng)模式在過(guò)去的五年中一直在保持不變。Abnormal的調(diào)查結(jié)果顯示，目前企業(yè)的電子郵件系統(tǒng)平均集成了379個(gè)第三方應(yīng)用程序。這表明，自2020年以來(lái)，第三方應(yīng)用程序的數(shù)量大幅增加了128%。
在員工人數(shù)超過(guò)30,000人的大型企業(yè)中，系統(tǒng)集成的第三方應(yīng)用程序數(shù)量在急劇的增加，平均達(dá)到了3,973個(gè)。這些應(yīng)用程序涵蓋了協(xié)作、生產(chǎn)力、開發(fā)、社交網(wǎng)絡(luò)、安全和其他各種領(lǐng)域的各種功能。
在已集成的第三方應(yīng)用程序中，約有37%的程序的權(quán)限具有高風(fēng)險(xiǎn)。這些權(quán)限包括發(fā)送和刪除電子郵件或用戶，甚至是重置用戶的密碼。
供應(yīng)商電子郵件攻擊（VEC）屬于商業(yè)電子郵件攻擊（BEC）的范疇，是網(wǎng)絡(luò)攻擊的一個(gè)重要組成部分。這些攻擊需要偽造或模仿企業(yè)電子郵件地址，其目的是欺騙組織、其員工、客戶或同事以達(dá)到欺詐目的。
商業(yè)電子郵件攻擊的表現(xiàn)形式多種多樣，而供應(yīng)商電子郵件攻擊則是其中一種特別先進(jìn)的變種。報(bào)告還指出，在2023年上半年，BEC和VEC攻擊將呈上升趨勢(shì)。
與前六個(gè)月相比，BEC的攻擊數(shù)量上升了55%，48%的實(shí)體在同一時(shí)期至少遭受過(guò)一次VEC攻擊。從今年上半年收集到的大量信息表明，與前兩個(gè)半年相比，VEC攻擊激增了34%。
在這里值得注意的是，現(xiàn)在攻擊格局已經(jīng)發(fā)生了很大的變化，BEC攻擊數(shù)量已經(jīng)超過(guò)了惡意軟件實(shí)例，這與前半年的趨勢(shì)截然不同。最容易受到攻擊的是那些擁有5,000個(gè)以上郵箱的大型組織，它們每周至少遭受一次BEC攻擊的可能性超過(guò)90%，同時(shí)遭受VEC攻擊的可能性為76%。
在目標(biāo)行業(yè)中，技術(shù)行業(yè)吸引的BEC攻擊最為集中，而廣告和營(yíng)銷則是VEC攻擊的主要重點(diǎn)。其他經(jīng)常遭受BEC攻擊的行業(yè)包括建筑業(yè)、金融業(yè)、運(yùn)輸業(yè)和媒體娛樂業(yè)。
參考及來(lái)源：https://www.cysecurity.news/2023/08/37-of-third-party-applications-have.html
