detecting-business-email-compromise-with-ai

使用 AI 检测商业电子邮件欺诈

概述

AI 驱动的 BEC 检测利用机器学习、NLP 和行为分析来识别不包含任何恶意链接或附件的高级冒充攻击。传统基于规则的过滤器会漏掉这些攻击，因为 BEC 完全依赖社会工程。现代 AI 方法会分析写作风格、语气、词汇、语法模式和行为上下文，以判断一封电子邮件是否真的来自其声称的发件人。基于 BERT 的模型在 BEC 检测中达到 98.65% 的准确率，AI 增强平台相较基于关键词的规则，钓鱼识别率提升 25%。

何时使用

• 当调查需要借助 AI 检测商业电子邮件欺诈的安全事件时
• 当为该领域构建检测规则或威胁狩猎查询时
• 当 SOC 分析师需要针对此类分析的结构化流程时
• 当验证相关攻击技术的安全监控覆盖范围时

先决条件

• AI 驱动的电子邮件安全平台（Abnormal Security、Tessian、Microsoft Defender）
• 用于基线训练的历史电子邮件数据（至少 30 天）
• 与电子邮件平台集成（Microsoft 365 或 Google Workspace）
• 用于告警关联和调查的 SIEM
• 了解 BEC 攻击类型（FBI IC3 分类）

工作流

步骤 1：部署 AI 电子邮件安全平台

• 选择基于 API 的解决方案（Abnormal Security、Tessian、Ironscales）或增强现有 SEG
• 连接到 Microsoft Graph API 或 Google Workspace API
• 允许对历史电子邮件数据进行 48 小时基线学习
• 配置集成以扫描入站、出站和内部电子邮件
• 验证用于消息访问和修复的 API 权限

步骤 2：配置行为基线

• AI 学习正常通信模式：谁给谁发邮件、频率、语气
• 为每个用户建立写作风格画像（词汇、句子结构）
• 按角色映射典型请求类型（财务处理付款，HR 处理 PII）
• 建立电子邮件元数据基线：典型发送时间、设备、位置
• 将偏离既有基线的行为标记为异常

步骤 3：训练用于 BEC 检测的 NLP 模型

• 部署基于 transformer 的模型（BERT、GPT）进行电子邮件内容分析
• 检测紧迫性和操纵性语言模式
• 识别发件人身份与写作风格之间的不一致
• 分析表明社会工程施压的情绪变化
• 对电子邮件意图进行分类：信息请求、付款请求、凭据请求

步骤 4：配置检测策略

• VIP 冒充：AI 将新电子邮件与已知高管的通信模式进行比较
• 供应商冒充：检测来自供应商仿冒域名的付款变更请求
• 账户失陷：检测员工电子邮件行为的突然变化
• 供应链 BEC：监控对可信合作伙伴的冒充
• 配置自动阻止、警告横幅或分析师审查的置信度阈值

步骤 5：与响应工作流集成

• 自动隔离高置信度的 BEC 检测结果
• 为中等置信度的检测结果添加警告横幅
• 将可疑电子邮件路由到 SOC 分析师队列以供审查
• 与 SOAR 集成以实现自动化响应 playbook
• 将 BEC 判定结果反馈到训练数据中以改进模型

工具与资源

• Abnormal Security：基于 API、具备行为分析的 AI 电子邮件安全
• Microsoft Defender for O365：内置 AI 反 BEC，带 Impostor Classifier
• Tessian (Proofpoint)：AI 驱动、具备人为层防护的电子邮件安全
• Ironscales：AI + 人工介入的 BEC 检测
• Darktrace Email：用于电子邮件威胁检测的自学习 AI

验证

• AI 检测出无恶意指标的测试 BEC 邮件（纯社会工程）
• 写作风格分析识别出冒充已知高管的行为
• 行为基线标记出来自遭入侵账户的异常付款请求
• NLP 正确分类测试场景中的紧急性操纵
• 基线训练后误报率低于 0.05%
• 检测率比传统基于规则的过滤器高出 25% 以上