今年4月到9月，黑客使用貌似合法的微软Office 365电子邮件地址，冒充多达150家公司的高管，以期使攻击更容易得逞，使用此法获利1500万美元。以色列网络安全初创公司Mitiga声称，它已告知了美国联邦调查局、特勤局和微软。

　　这是一起典型的案例。在这起所谓的商业电子邮件欺诈（BEC）活动中，骗子冒充公司的合伙人，并说服受害者将钱存入他们的银行账户。比如说，黑客会设置电子邮件服务器域，让人误以为是真实的公司，比如forb3s.com而不是forbes.com。Mitiga表示，在它调查的一起案例中，黑客设法闯入了一名员工的Office 365电子邮件帐户，从而了解了攻击目标的电汇情况。然后，未透露名称的受害者组织准备汇钱时，欺诈者冒充是收钱方，并发送新的电汇指令，那样收到钱的是欺诈者，而不是实际卖方。后者从未收到应得的款项。

　　Mitiga调查了这起攻击后发现了可能有关联的其他众多BEC欺诈，这些欺诈可能是同一团伙所为。Mitiga表示，这个团伙使用15个不同的Office 365帐户注册了另外150个域，所有这些域都在Wild West Domains上注册，旨在模仿其他合法公司。

　　该公司在周三发布的一份报告中写道：“我们认为威胁分子选择使用Office 365是为了提高攻击得逞的可能性，这归功于它具有可信度。威胁分子使用同样的技术堆栈既减少了可疑的差异，又降低了触发恶意检测过滤的可能性，最终导致非法电子邮件成为漏网之鱼。”

　　Mitiga不确定这些攻击是否全部由同一团伙发起，但声称已发现了表明有这种可能的“数字指纹”。至于受害者，它仍未透露名称，但是这家初创公司的联合创始人兼首席执行官Tal Mozes说：“受害者都是跨国公司，许多总部位于美国，遍布众多行业，包括律师事务所、建筑公司、金融公司和零售商。”

　　联邦调查人员在8月已获悉攻击事件，微软上周才知晓。FBI尚未回应置评请求。微软没有对涉嫌的欺诈事件发表评论，但在一份声明中表示，Office 365的电子邮件过滤工具有助于保护客户免受攻击。

　　发言人补充道：“网络钓鱼是整个行业一直存在的挑战，微软在不断密切关注新的攻击模式，并加强我们的服务以帮助确保客户安全。为了进一步保护客户，Defender for Office 365（以前名为Office 365 ATP）包含丰富的功能，可以挫败针对性的高级攻击，比如商业电子邮件欺诈、登录信息网络钓鱼和电子邮件帐户泄露。我们鼓励客户采用这些高级保护措施，并在网上采取安全计算习惯，我们的网站和博客已有概述。”

　　BEC在肆虐

　　这些攻击是日益猖獗的BEC攻击中的最新例子，BEC攻击已使企业损失数十亿美元。

　　FBI在4月透露，2014年1月到2019年10月，它接到的投诉称“使用两种流行的基于云的电子邮件服务”的BEC骗局造成的实际损失总额超过21亿美元。它没有说微软的Office套件是不是其中一种服务。联邦政府执法官员还警告，预计与新冠疫情有关的BEC欺诈行为会增加。FBI称，在一起案例中，一家金融机构收到了一封欺诈者发来的电子邮件，欺诈者冒充是一家安排过转账100万美元的公司的首席执行官，“由于新冠疫情爆发以及隔离过程和预防措施”，现要求尽快付款，并转到另一个账户。

　　《福布斯》也一直密切关注执法部门正在调查的BEC骗局。在FBI去年年底调查的一起特别严重的案例中，总部位于佛蒙特州的Encore可再生能源公司上了骗子的当，向冒充是老合伙人的骗子汇去了200万美元。据《福布斯》看到的搜查令显示，款项最终存入到了香港的银行账户，不过在犯罪分子洗钱之前追查到并冻结住了这笔钱。