在短短12个月内 ，员工邮件攻击者试图通过供应商邮件欺诈(Vendor Email Compromise,屡屡 VEC)窃取超过3亿美元 ，其中7%的遭受攻击涉及曾参与过之前攻击的员工 ，据Abnormal AI的供应攻击数据显示 。 供应商邮件欺诈风险随企业规模增大而上升员工难以区分合法邮件与攻击邮件 ，商电特别是员工邮件当这些邮件看似来自可信赖的供应商时 ，在员工人数达到50000人或以上的屡屡大型组织中，员工对VEC邮件进行进一步操作(如回复或转发)的遭受比率最高 。 在所有地区 ，供应攻击大型企业中72%阅读过VEC邮件的香港云服务器商电员工会继续与其互动，采取后续行动 ，员工邮件如回复或转发 。屡屡 “基于电子邮件的遭受社交攻击从未如此令人信服或有效 ，”Abnormal AI的供应攻击CIO Mike Britton表示 。“攻击者正在劫持合法的商电供应商对话线程 ，并精心制作复杂的邮件 ，这些邮件能够绕过传统的防御措施而不被发现 ，由于员工认为这些邮件是真实的 ，模板下载他们正以惊人的速度与之互动。” 电信行业的VEC参与率最高 ，达到71.3% ，远高于排名第二的能源/公用事业行业的56%。销售角色 ，尤其是初级销售人员 ，是最脆弱的群体之一 ，初级销售人员对已阅读的VEC攻击邮件的源码下载参与率高达86% 。 VEC威胁在EMEA地区上升尽管该地区的企业对商业邮件欺诈(BEC)攻击保持高度警惕 ，但它们仍特别容易受到VEC攻击。 例如 ，在EMEA地区，VEC的参与率比BEC高出90% ，且重复参与VEC的比率是任何地区中最高的 ，是BEC的两倍多 ，这表明员工更信任外部方(如供应商) ，源码库而非内部来源 ，这使得他们特别容易受到供应商伪装攻击的影响。 此外 ，EMEA地区的企业对VEC的报告率在所有地区中最低(0.27%) ，但对BEC的报告率最高(4.22%) 。 电子邮件安全报告不足只有1.46%的已读文本型高级电子邮件攻击被报告 。以一家拥有1500-3000名员工的中型企业为例 ，在2024年3月至2025年3月期间 ，其每月平均收到的文本型高级攻击邮件约为每1000个邮箱560封 ，云计算这意味着，每月估计有840-1680起攻击未被报告给安全团队 。对于大型企业而言 ，这一数字可能更高 。 一些员工可能认为 ，只要他们不与攻击者互动 ，就已经履行了对组织的义务 ，但安全专业人员知道 ，删除邮件而不报告可能同样具有破坏性 ，因为这消除了安全运营中心(SOC)团队调查 、修复相关消息并采取措施减少类似攻击漏洞的机会 。 每当员工需要判断邮件是否合法时 ，人为错误的服务器租用风险就会增加，如果他们判断错误 ，网络犯罪分子将毫不犹豫地利用这一机会 ，并造成影响整个企业的财务后果 。 “虽然VEC的数量仍然低于网络钓鱼或勒索软件，但其成功率——以及潜在的财务影响——要大得多 ，特别是随着攻击性AI使攻击者更容易冒充可信赖的供应商，”Britton补充道 ，“为了防止代价高昂的人为错误 ，企业必须超越被动培训 ，采取主动防御措施 ，在威胁到达收件箱之前就将其拦截 。” |
