据Barracuda公司的最新报告显示， 2023 年，有约 92% 的企业平均在一年内经历了 6 次因电子邮件社交工程攻击导致的凭据泄露事件。

在去年的社交工程攻击中，诈骗和网络钓鱼占了86%。

报告中提到了几种社工攻击的趋势，包括：

对话劫持：这是指攻击者通过网络钓鱼攻击入侵企业账户，然后监控被入侵的账户，以了解企业运营情况，了解正在进行的交易、付款程序和其他细节。攻击者利用这些信息，从冒充的域名中编造看似真实、令人信服的信息，诱骗受害者汇款或更新付款信息。2023 年，对话劫持仅占社交工程攻击的 0.5%，但与 2022 年相比，却上升了近 70%。

勒索：这类攻击涉及黑客威胁向受害者的联系人暴露敏感或令人尴尬的内容，除非支付赎金。勒索攻击占 2023 年社会工程学攻击总数的 2.7%。

攻击者不断利用合法服务

梭子鱼报告强调，通过利用上述的社交工程技术，越来越多攻击者开始使用合法服务来攻击员工。

Gmail 是迄今为止社交工程攻击中使用最多的电子邮件域，占去年攻击的 22%。

黑客最常用的免费网络邮件服务依次是 Outlook（2%）、Hotmail（1%）、iCloud（1%）和 Mail.com（1%）。所有其他域名占攻击总数的 73%。使用 Gmail 的攻击尤其偏向于 BEC，50% 以上的 Gmail 攻击用于此目的。在 2023 年使用 Gmail 的攻击中，诈骗占 43%。

研究人员还发现，越来越多网络犯罪分子开始利用流行的商业 URL 缩短服务在钓鱼电子邮件中嵌入恶意链接。这种策略有助于掩盖链接的真实性质和目的地，因为它们通常看起来像是来自合法网站。

去年使用最广泛的 URL 缩短服务是 bit.ly，近 40% 的包含缩短 URL 的攻击都利用了它。

其次最常用的服务是 X（前 Twitter），在 16% 的包含缩短 URL 的攻击中使用。

与 2020 年的研究相比发生了重大变化，当时约有三分之二的攻击（64%）使用了 X 的缩短服务，而 bit.ly 仅占 3%。

报告中强调的另一个显著趋势是 2023 年末 QR 码网络钓鱼攻击的显著增加，约有 5% 的邮箱成为二维码攻击的目标。

网络犯罪分子会在钓鱼邮件中嵌入二维码，提示用户扫描二维码并访问一个看似可信服务或应用程序的虚假页面。这些页面通常是为了诱骗用户下载恶意软件或输入登录凭证。

研究人员指出，由于没有嵌入链接或恶意附件可供扫描，因此使用传统的电子邮件过滤方法很难检测到 QR 代码攻击。

通过电子邮件发送的 QR 码还能诱导受害者转而到不受公司安全软件保护的个人设备，如手机或 iPad上进行操作。

参考来源：https://www.infosecurity-magazine.com/news/credential-compromise-social/