收到财务“工资补助”邮件，该打开吗？原创

在企业上班，每天都要接收几十封各种来源的邮件，谁能想到，一封看似企业内部的通知邮件，竟能让你瞬间损失数万元个人财产。近日，某科技公司员工收到一封来自财务部工资补助邮件，大量员工按照附件要求扫码，并填写了银行账号等信息，最终不但没有等到所谓的补助公司，卡内的余额也被划走。经调查，石伟某员工使用邮件时被意外钓鱼，导致密码泄露，进而被冒充财务部盗发邮件，共有24名员工被骗取4万余元人民币。其实，目前很多企业都具备严密的信息安全防护措施，可为何总能让不法分子有可乘之机？对此，男方家连线腾讯安全专家王瑜进行揭秘。钓鱼邮件是网络社会工程攻击，也就是我们经常说的社工攻击的一种常见的表现形式。那一般攻击者会发送一个伪造的邮件，这个邮件会一般会应用特定的应用场景或者一个目的，如果是精心构造的调研邮件的话，还会诱导你去访问一个外观其实相似的网站或者应用程序。当点击调用邮件，黑客就能利用它的恶意程序来获取我们的敏感个人信息，包括我们的账号、密码、口令，甚至我们的一些用户登录状态，有的时候还能完全控制我们的电脑。就像钓鱼事件，其实就是钓鱼者通过钓鱼邮件来诱导用户去访问仿冒的第三方交易平台，从而获取我们的授权以及他的交易凭证。腾讯安全团队也经常参加一些国家组织的网络安全攻防演练，事实证明，最容易和直接攻破的手段就是社工攻击。

要分辨钓鱼邮件或钓鱼网站，其实还是需要有一定的基础知识的，但是我们可以通过提升网络安全意识来进行防范。在工作和生活中保持一个合理的、善意的怀疑。比如我们不打开陌生人发的邮件或者运行来历不明的程序，当打开文件或者程序时进行病毒查杀，当我们涉及到金钱交易或者提供敏感信息、账号、口令、密码或者一些权限的时候，那我们要进行一次二次确认。网络安全的本质是对抗，核心是人与人的对抗。社会工程学攻击可以说是一种绕过网络安全技术防护体系，直接利用人性的弱点进行突破的方法。对于企业而言，一般可以从技术和员工安全意识两个层面有效防范钓鱼攻击。从技术上可以部署全流量的态势感知终端、安全防护、安全威胁情报、安全邮件网关等相关的安全产品，在安全意识上可进行安全意识的培训。

按员工岗位分类制定可持续的培训计划，如果一旦发现钓鱼或可疑事件时，及时反馈给企业的it或安全部门进行快速止损或实施预防补救措施。对于个人网民要提升安全意识，时刻保持一个合理的善意怀疑，特别是在涉及到金钱交易或要求提供口令密码、验证码时，还要定期更改常用口令密码，启用双因子认证，注意个人信息的保护，谨慎对待天上掉馅饼的事情等。