张朝阳回应搜狐内网遭钓鱼邮件攻击，解决邮箱安全问题到底难在哪儿？

记者 | 姜菁玲

近日，国内头部邮件服务商搜狐公司内部遭到钓鱼邮件攻击。

一份微信群聊记录显示，5月18日，搜狐全体员工一早收到一封来自“搜狐财务部”名为《5月份员工工资补助通知》的邮件，有员工按照附件要求扫码，并填写了银行账号等信息，最终不但没有等到所谓的补助，工资卡内的余额也被划走。搜狐员工收到的内部钓鱼邮件内容

消息曝出后，有关“搜狐员工遭遇工资补助诈骗，损失惨重”的话题也登上热搜。

数名搜狐员工向界面新闻记者证实确实收到了该邮件。一名搜狐员工表示，公司在18号早晨9点发布全员预警，请员工不要点击该钓鱼邮件。

5月25日11时，搜狐公司CEO张朝阳发表微博称，事情并没有大家想象的那么严重，主要是一名搜狐员工的内部邮箱密码被盗，盗贼冒充财务部发信给员工。技术部门发现后紧急处理，总体资金损失总额少于5万元。该事件并不涉及搜狐对外的公共服务邮箱xyz@sohu.com。

奇安信行业安全研究中心主任裴智勇告诉界面新闻记者，邮件攻击是针对企业最简单，但也最有效、最具迷惑性的攻击方法。每年被盗的各类邮箱账号数以百万计，这是安全管理疏忽的表现。

裴智勇称，搜狐所遭遇的情况是一起典型的OA钓鱼攻击事件。通常情况下，这种攻击的过程大致是这样的：攻击者首先盗取或恶意注册了一个公司内部邮箱，之后再用这个邮箱发邮件给其他员工，诱骗其在钓鱼网站（仿冒的公司邮件登陆页面）上输入账号和密码，从而骗取邮箱密码，攻击者盗取内部邮箱账号的过程，很有可能也是通过另一封钓鱼邮件完成的。

“电子邮件是最早的网络通信方式，设计之初并没有任何安全考虑，普通的电子邮件基本都是明文传输，而且没有加密校验的。邮件报文明文传输的本质是其容易被篡改的根本原因。”

裴智勇表示，目前大型邮件服务商都设置了很多安全机制来规避邮件被盗用修改的情况，比如，收邮件的服务系统可以向发邮件的服务系统发出一些验证信息，以确认邮箱或邮件来源是否可信。不过很多企业都出于各种原因，没有开启类似的校验功能。

邮箱业务是搜狐传统业务之一，该业务下分sohu免费邮箱，sohuVIP邮箱以及sohu企业邮箱等，搜狐电子邮箱服务也是国内最大的邮箱服务商之一。此次搜狐自身内网邮箱遭到攻击，也让邮箱的安全问题再次受到外界关注。

“企业应该部署邮件安全系统或邮件威胁识别系统。本次事件关联的企业，本身也是国内领先的邮件服务商，此类系统可能也是健全的。只不过，钓鱼邮件本身确实很难识别，难免会有漏网之鱼。”

据界面新闻了解，不仅是搜狐，多家公司员工都曾表示在内网收到过类似的钓鱼邮件，除了外部恶意攻击，还有一部分来自企业内部安全部门对员工的“钓鱼培训”，未经过考验，点击了邮件的员工将受到重点安全教育。

裴智勇亦表示，邮件攻击的发生一方面是企业自身安全管理疏忽的表现，而员工被钓鱼邮件所骗，也是自身安全意识不足的体现。因此，为了防范此类攻击，企业不仅需要部署邮件安全系统，还要经常进行员工安全意识教育，进行各类实战攻防演习。同时，企业邮箱系统需要开启强制弱口令检测，强制定期改密码，以最大限度的减轻邮箱盗号风险。