detecting-business-email-compromise

检测商务电子邮件入侵

概述

商务电子邮件入侵（BEC）是一种复杂的欺诈手法，攻击者冒充高管、供应商或可信合作伙伴，诱骗员工转移资金、泄露敏感数据或更改付款信息。与传统钓鱼不同，BEC 通常不包含恶意链接或附件，完全依赖社会工程。本技能涵盖使用电子邮件网关规则、行为分析和财务流程控制的检测技术。

何时使用

• 在调查需要检测商务电子邮件入侵的安全事件时
• 在为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 在验证相关攻击技术的安全监控覆盖范围时

前提条件

• 具备 BEC 检测能力的电子邮件安全网关
• 了解组织财务流程和审批链
• 能够访问电子邮件日志和 SIEM 平台
• 了解社会工程战术

关键概念

BEC 攻击类型（FBI IC3 分类）

1. CEO 欺诈：攻击者冒充 CEO，要求紧急电汇
2. 账户入侵：员工电子邮件被入侵，用于向供应商请求付款
3. 虚假发票方案：来自“供应商”的假发票，附带更改后的银行信息
4. 律师冒充：冒充法律顾问，要求紧急保密转账
5. 数据窃取：向 HR 索取 W-2、税务表格或 PII

检测指标

• 紧急和保密用语（“机密”、“不要与他人讨论”）
• 新的或更改的付款指令
• 高管沟通超出正常模式
• 显示名称与高管匹配，但电子邮件域不同
• Reply-to 地址与 From 地址不同
• 发件人与收件人之间首次通信的模式
• 请求礼品卡或加密货币

工作流

步骤 1：配置 BEC 专用电子邮件规则

• 标记来自外部域、使用 VIP 显示名称的电子邮件
• 检测财务关键词与紧急用语的组合
• 对首次向财务/会计人员发送邮件的情况发出警报
• 检查 Reply-To 域是否不匹配

步骤 2：部署行为分析

• 为每个用户建立正常通信模式基线
• 检测异常请求（异常收件人、异常时间、异常请求类型）
• 监控电子邮件转发规则更改（T1114.003）

步骤 3：实施财务控制

• 超过阈值的电汇需要双重授权
• 对付款信息更改进行带外验证（电话回拨）
• 供应商付款更改验证流程
• 对财务团队进行 BEC 危险信号培训

步骤 4：监控账户入侵

• 检测电子邮件登录位置中的不可能旅行
• 对创建电子邮件转发规则发出警报
• 监控邮箱委派更改
• 检查是否存在隐藏 BEC 相关电子邮件的收件箱规则

工具与资源

• Microsoft Defender for O365 Anti-BEC：内置 BEC 检测
• Proofpoint Email Fraud Defense：BEC 专用解决方案
• Abnormal Security：AI 驱动的 BEC 检测
• FBI IC3 BEC Advisory：https://www.ic3.gov/
• FinCEN BEC Advisory：金融机构指南

验证

• BEC 检测规则在测试场景中触发
• 财务控制在演练中阻止未授权转账
• 账户入侵检测捕获模拟攻击
• 在意识评估中降低 BEC 易受攻击性