七個郵箱泄漏“慘案”給我們的啟示

你還在郵箱上使用初戀時就在用的密碼嗎？

你的郵箱密碼和其他平臺的登錄密碼一樣嗎？

你有沒有毫不猶豫地點擊過郵件里的鏈接呢？

你的郵箱密碼是不是簡單到一年級小朋友的知識量就能猜透？

如果你對以上任何一個問題的答案是“Yes”，那么你極有可能已經(jīng)成為郵箱被泄露的一員了。如果你恰好是個名人，或者是企業(yè)的管理層，那么郵箱泄露可能導(dǎo)致的結(jié)果會超乎你的想象。

最近，360 互聯(lián)網(wǎng)安全中心對外發(fā)布預(yù)警：郵箱泄露將會成為2017年最嚴(yán)重的威脅。

雖說郵箱幾乎和互聯(lián)網(wǎng)同時誕生，是互聯(lián)網(wǎng)上的老干部了。但是有很多證據(jù)表明，這個老干部遇到了新問題。黑客有一萬種方法黑掉一個郵箱。而以這個郵箱為入口，黑客可以掌握你的一切。

每個慘案背后，都揭示了一個血淋淋的教訓(xùn)。

貝克漢姆男神形象崩塌——郵箱里有你的所有“黑歷史”

貝克漢姆被稱為這個世界上高、富、帥集成度最高的人。這個公眾眼中勤奮刻苦熱衷慈善樂善好施的好丈夫好父親是為數(shù)不多的正能量范本。

不巧，他的郵箱密碼被黑客拿到了。英國人對郵箱的依賴程度很高，很多私人的談話都會通過郵件發(fā)送。

在給友人發(fā)的私人郵件里，貝克漢姆解放了自己：郵件里不僅有他的私生活記錄，還有他不經(jīng)意間吐槽挖苦其他明星的文字。最要命的是，人們發(fā)現(xiàn)他熱衷于慈善的原因，居然是覬覦“爵士”的頭銜。

看看小貝都說了神馬吧：

• 得知自己和爵士頭銜擦肩而過時，小貝寫了一封很憤怒的郵件，表示不滿意這個結(jié)果，說提名他獲勛章的委員會老大是“毫無欣賞力的傻X （unappreciative c****）

• 在一封給他公關(guān)經(jīng)理Simon Oliveira的郵件中抱怨道：“Katherine Jenkins拿OBE（官佐勛章）？憑啥？她只會在英式橄欖球比賽上唱唱歌，慰問一下軍隊，還吸毒嗑藥，這尼瑪就是個笑話！”

• 小貝甚至還對他平日里極力討好的委員會爆粗：“他們就是一群婊，我說的沒錯！這些榮譽到底誰說了算？這真尼瑪丟人，如果我是美國人，十年前我就拿到這個了！”

• 對于慈善基金，小貝在私人郵件里寫道：“把幾百萬投到慈善基金，就像把我自己的錢給出去一樣。如果沒有基金，那錢本該是我的。這尼瑪可是我自己的錢！”
  

郵箱泄露讓全世界認(rèn)識了一個真的貝克漢姆。雖說貝克漢姆已報警，辯稱有人改動了他的郵件，但目測然并卵。

先不談黑客如何黑進(jìn)他的郵箱，單單郵件泄露這一件事，就是貝克漢姆不能承受之重。因為，就連你自己都忘記說過了什么，但是郵件卻幫你準(zhǔn)確無誤地記錄著。人非圣賢，誰都會有搬不上臺面的算計。而這些黑材料永遠(yuǎn)是埋在你身邊的定時炸彈。

這件事，是細(xì)思極恐的。你的聊天記錄其實就是你的“黑歷史”。試想如果你的微信記錄被黑客公布于天下，也許就連最好的朋友看到你背地里如何議論他，都要和你絕交。

不過，根據(jù)裴智勇的調(diào)查，名人郵箱泄露雖然畫風(fēng)慘烈，但卻不是郵箱泄露的重點。在所有的郵件攻擊中，針對名人的只占2%的比例，而排名前三的分別為：大中企業(yè) 35%、高等教育機構(gòu)30%、政府機構(gòu)22%。

【郵箱攻擊中，各個目標(biāo)占比】

這么說來，企業(yè)和政府機構(gòu)才是黑客們的主要“獵物”。這并不難理解，因為政治和經(jīng)濟往往對這個世界的影響更大，而黑客們往往也想“干一票大的”。

希拉里競選團隊郵箱被黑過程——再聰明的人也會上當(dāng)

2016年，黑客們真的干過一票大的——黑掉了民主黨競選總部郵箱。這件事情對世界造成的改變已經(jīng)不能用金錢來衡量了。大批外泄的競選郵件顯示，希拉里表面上溫順和善，背地里正準(zhǔn)備給競爭對手按個放血。

那么，究竟希拉里的郵件是怎樣被泄露的呢？

說來非常簡單，黑客偽裝成 Google 的官方客服，給競選團隊成員威廉·萊因哈特（William Rinehart）發(fā)了一封釣魚郵件。郵件內(nèi)容也很簡單：

有人已經(jīng)破解了你的郵箱密碼，請盡快登錄修改。

就這樣，黑客不費吹灰之力就拿到了團隊核心成員的郵箱密碼，進(jìn)而利用這個郵箱在郵件系統(tǒng)內(nèi)部擴大攻擊，最終完全控制了郵件服務(wù)器。

民主黨的精選團隊，智商應(yīng)該是超群的。然而就是這樣一群人精卻被簡單的把戲忽悠得團團轉(zhuǎn)。問題在于，這些人缺乏基礎(chǔ)的郵箱安全意識。

而在釣魚郵件方面，黑客們可是用盡了自己的智慧。

你現(xiàn)在回想一下，自己有沒有收到過郵箱服務(wù)商或者管理員發(fā)來的“官方郵件”，提示你安全性升級，或者郵箱擴容，或者郵箱遷移。這些郵件非常逼真，有的還帶上了逼真的 LOGO，但無一例外它們都需要你進(jìn)行密碼登錄驗證。而一旦你輸入了密碼，就等于把自己的郵箱拱手讓人。

【偽裝成各種姿勢的針對企業(yè)員工的釣魚郵件】

如果黑客的僅僅停留在郵件系統(tǒng)，不那么容易引起直接的資金損失。但黑客絕不會老老實實呆在原地。

國企因為郵箱泄露而被盜取大量資金——郵箱僅僅是跳板，直通你的身家性命

有人會覺得在中國郵箱并不太流行。艾瑞咨詢做了一個調(diào)查，結(jié)論是中國人使用的企業(yè)郵箱服務(wù)正在劇烈增長。2009年使用外包企業(yè)郵箱的用戶只有1275萬家，而預(yù)計2017年，這個數(shù)字是1.35億。

越來越多的人使用企業(yè)郵箱，而人們對于郵箱安全的概念幾乎為零，這使得郵箱成為了一個絕好的進(jìn)攻跳板。

這里有一個血淋淋的中國案例。

一個大型國企的財務(wù)人員收到經(jīng)理的郵件，示意他應(yīng)該給 A 公司結(jié)款，財務(wù)人員經(jīng)過審核發(fā)現(xiàn)，確實到了結(jié)款的時間，就通過財務(wù)系統(tǒng)把錢轉(zhuǎn)給了“A 公司”。

然而，過了幾個月，真正的 A 公司找到這家企業(yè)，要求結(jié)款。這時公司才發(fā)現(xiàn)，原來之前的幾百萬根本沒有匯進(jìn) A 公司的賬戶，而是進(jìn)了黑客的腰包。

這里有一些難以理解的問題：企業(yè)資源系統(tǒng)（ERP）和辦公系統(tǒng)（OA）是相互獨立的，企業(yè)資源系統(tǒng)不和互聯(lián)網(wǎng)連接，而辦公系統(tǒng)和互聯(lián)網(wǎng)連接。如此推斷，黑客應(yīng)該無法接觸到財務(wù)系統(tǒng)。

經(jīng)過調(diào)查，故事的秘密在于：黑客利用釣魚郵件攻擊了總經(jīng)理的辦公系統(tǒng)，而總經(jīng)理用于登錄辦公系統(tǒng)和企業(yè)資源系統(tǒng)的密碼是相同的，于是黑客順利跳入了財務(wù)系統(tǒng)，不僅偽造總經(jīng)理向財務(wù)發(fā)指示，還在財務(wù)系統(tǒng)里直接更改了收款企業(yè)的賬號。