不法分子利用电子邮件系统漏洞

上周三凌晨两点十七分，不法某家外贸公司的分利财务总监收到一封来自“CEO”的邮件。邮件语气急促，用电邮件要求她立刻向一个海外账户转账四万七千欧元，系统理由是漏洞“正在处理一笔紧急并购”。她照做了。不法直到第二天上午十一点，分利真正的用电邮件CEO在办公室大喊“我从来没发过那封邮件”时，钱已经躺在某个东欧国家的系统银行账户里，再也追不回来了。漏洞

这不是不法什么高深的黑客技术。攻击者没有破解密码，分利没有植入木马，用电邮件甚至没有绕过防火墙。系统他们只是漏洞利用了一个存在了十七年的电子邮件协议漏洞——发件人地址伪造。简单来说，SMTP协议在设计之初就没想过验证发件人身份，就像寄信时信封上的回信地址可以随便乱写一样。任何懂点技术的人，用几行Python代码就能让邮件显示为“来自”任何他想要的人。

真正让人后背发凉的是这个漏洞的普及程度。我认识的一位安全研究员做过测试，他给国内一百家中小企业的HR邮箱发了伪造的“老板要求发通讯录”邮件，结果有四十七家真的把员工名单发了过来。更离谱的是，其中一家公司还附上了工资明细表。这些企业不是没有装杀毒软件，也不是没有防火墙，它们只是从来没有怀疑过——邮件头里那个“发件人”字段，居然能是假的。

你可能会想，大公司总该有防护吧？去年某跨国银行就栽在这上面。攻击者伪造了合作律所合伙人的邮件，要求更新收款账户信息。银行职员跟“律师”来回通了六封邮件，每封都看起来无比正常——签名档、法律免责声明、甚至邮件底部的保密提示都一模一样。直到第七封邮件里，对方发来一个钓鱼链接，职员点进去输入了公司邮箱密码，整个内部邮件系统就成了筛子。事后调查发现，攻击者早在三个月前就潜伏在律所的真实邮箱系统里，偷看了所有往来邮件，所以才能模仿得如此逼真。

这种攻击最阴险的地方在于，它不攻击技术，而是攻击人性。技术漏洞只是入口，真正让攻击得逞的是我们对“邮件里说的话”的信任惯性。想想看，你每天收多少封邮件？老板的指令、客户的合同、供应商的发票——谁会去逐字核对每一封邮件的来源真实性？

更麻烦的是，修复这个漏洞需要动整个互联网的根基。全球有数十亿台邮件服务器，要全部升级支持SPF、DKIM、DMARC这些验证协议，就像给每栋老房子重新铺水管——工程浩大，而且很多房东根本不在乎。谷歌和微软早就在自家邮箱里强制启用了这些验证，但中小企业的自建邮箱服务器，大多还停留在裸奔状态。

我见过最讽刺的一个案例是，某家公司的IT主管在被钓鱼后辩解：“我们装了价值八十万的安全设备。”没错，那些设备确实能挡住绝大多数外部入侵，但一封伪造的“老板邮件”就像穿着西装从正门走进来的骗子，门卫不但不拦，还敬了个礼。

眼下最务实的应对方式，其实特别土——凡是邮件里涉及转账、密码、个人信息变更的，一律用电话或当面二次确认。别嫌麻烦，那四万七千欧元买来的教训，够那家外贸公司记一辈子了。

很赞哦!（5）