网络安全与合规性服务商Proofpoint公司最新发布的一份调查报告表明，网络钓鱼、商业邮件泄露(BEC)和勒索软件仍是最流行的网络攻击技术，同时，一种新型的网络攻击正在兴起。
网络安全与合规性服务商Proofpoint公司网络安全战略执行副总裁Ryan Kalember在该公司发布的有关《2023年网络钓鱼状况报告》的一篇新闻稿中说:“传统的网络钓鱼仍然很成功，同时，许多威胁行为者已经转向采用更新的技术，例如面向电话的攻击交付(TOAD)和绕过多因素认证的中间对手(AitM)网络钓鱼代理。多年来，这些技术一直被用于定向攻击，在2020年，它们被大规模使用。”
该报告基于对15个国家的7500名员工和1050名安全专业人员的调查，并在一年内对1800多万终端用户报告的电子邮件和1.35亿次模拟网络钓鱼攻击进行了内部遥测。研究表明，网络安全意识和安全环境的持续差距导致了网络攻击。
勒索软件和基于电子邮件的攻击是最常见的网络攻击
在2022年，76%的企业成为勒索软件攻击的目标，其中64%的企业实际上受到了感染。这些企业中只有50%在支付赎金后成功获得了他们的数据。
几乎所有受影响的企业(90%)都有涵盖勒索软件攻击的网络安全保险政策，大多数(82%)保险公司同意支付部分或全部赎金。根据Proofpoint公司发布的数据，拥有网络安全保险的公司比例很高，这是大量企业愿意支付赎金的原因，64%的受感染企业至少支付了一次赎金，与去年相比增加了6个百分点。
报告强调，接受调查的美国企业(89%的企业遭受过勒索软件攻击)更容易受到勒索软件的攻击，接受调查的其他14个国家的企业几乎都有网络安全保险。
在接受调查的加拿大企业中，只有24%的企业在勒索软件攻击后提出索赔，原因是他们的政策覆盖范围不广。韩国仍然是亚太地区受攻击最少的国家。
报告称，2022年，80%以上的企业(84%)经历了至少一次成功的基于电子邮件的网络钓鱼攻击，其直接经济损失比2021年增加了76%。
去年，全球75%的企业报告了商业邮件泄露(BEC)攻击事件。虽然英语仍然是最常用的语言，但一些非英语国家的企业使用自己的语言进行的攻击数量更高，其中，荷兰和瑞典的企业报告此类的攻击激增92%;西班牙增长92%;德国增长86%;法国增长了80%。
微软仍然是顶级被冒充的品牌
网络犯罪分子大多在网络钓鱼攻击中滥用微软的品牌名称，有3000多万条邮件使用微软的品牌或提到Office或OneDrive等产品。然而，其他公司也经常被网络犯罪分子冒充，包括亚马逊(在650万次网络攻击中提到) ;DocuSign(350万次);谷歌(260万次);DHL(200万次);以及Adobe(150万次)。
大量的品牌冒充攻击令人担忧，尤其是44%的受访员工认为，带有熟悉品牌的电子邮件是安全的，63%的人认为电子邮件地址总是属于相应品牌的网站。
无论是在家里还是在办公室工作，最终用户缺乏安全知识和不良的安全习惯，使企业容易受到潜在风险的影响。调查表明，超过33%的受访者无法区分恶意软件、网络钓鱼等术语。
新的网络攻击威胁上升
在过去的一年中，每天发送的面向电话的攻击交付(TOAD)和多因素身份验证(MFA)绕过钓鱼信息的数量显著增加。Proofpoint公司每天监控超过60万次TOAD攻击，通过欺骗性的“呼叫中心”鼓励收件人发起与网络攻击者的直接对话。
新冠疫情导致的工作流动性变化和经济不确定性导致25%的员工在过去两年离职或换工作。这使得企业的数据保护更具挑战性，65%的企业报告了由于内部人员的行为而导致的数据丢失，近一半(44%)换工作的人承认随身携带了数据。
在全球各地，在2022年，71%的欧洲、中东和非洲的企业数据泄露都是内部人员造成的。德国企业最有可能遭遇内部攻击，18%的企业报告称数据丢失是由内部人员造成的。阿联酋只有4%的企业报告数据是由于内部攻击而丢失，该国企业遭受内部攻击的可能性最小。
此外，美国的企业(63%)倾向于对不安全行为的员工进行处分。在从事信息安全工作的受访者中，只有9%的人认为实施结果模型与企业文化不兼容。
