网传退税攻略是否可信？当心！骗子正盯紧你的个税汇算清缴

2021年度个人所得税综合所得汇算清缴于3月1日正式启动了。有人补缴税费，更有人享受退税红利。“退税秘籍揭秘”、“退税拿钱技巧”，这样的“攻略”你收到过吗？

近日，某公司员工小赵3月1日收到一条自称来自单位财务部门的邮件，要求其点击链接进入“2021年度汇算清缴官网”，登记个人信息以便享受新个税的退税政策。在随后的信息登记过程中，小赵发现引导中需要填写的内容居然包含银行卡账户、密码及验证码等敏感信息，随机警觉并迅速关闭相关页面后报案。“网络钓鱼”这一不法分子惯用的攻击手法，再次引起了大家的关注。 仅在过去的一年中，就有200万+封恶意邮件绕过了安全电子邮件网关等传统邮件防御措施，91%的定向攻击更是始于钓鱼邮件，“上钩者们”近几年损失的金额高达千亿级，令企业与个人防不胜防！我们先回顾一下《亚小信敲黑板》，看看钓鱼邮件的那些事~
亚信安全基于研究发现：这些钓鱼攻击大多来自信任的对象，且信件内容甚至是口吻都十分熟悉，再加之要求回复的时间紧迫，用户自然难以识别真假。其次，钓鱼攻击往往不携带可检测拦截的URL或恶意附件等攻击载荷，因而能轻易地避开大多数传统的安全防护技术，让传统的邮件安全解决方案难以识别。而从技术层面来讲，钓鱼攻击又是一种相对技术含量较低的金融欺诈，但可为诈骗者带来高回报，而风险却很小，因此让其在网络诈骗中广泛使用。

技术+意识，防范钓鱼攻击

当前，微信、QQ等各种即时通讯工具随手可用，但这并不意味着Email已经过气，作为日常工作中极为重要的通信工具，尤其是企业用户，电子邮件往往意味着“正式”的沟通或者决策。因此，亚信安全建议企业级用户应从以下两个方面建立防范机制：

用AI技术完成邮件安全能力升级

钓鱼邮件、鱼叉邮件、商业电子邮件诈骗(BEC)都是利用社会工程学进行攻击的，这超越了传统邮件网关的防御能力。而部署具备高级威胁防御能力的邮件安全设备，例如亚信安全信桅深度威胁邮件网关(DDEI)，不仅可以利用机器学习及人工智能技术识别BEC类的定向攻击邮件，还能利用定制化沙箱模拟附件或URL打开过程，判断附件或URL是否夹杂高级恶意程序，对包含加密勒索软件，以及具备APT攻击属性的邮件进行甄别防御。

【图：亚信安全DDEI工作模型】

树立“社工”攻击防范意识

“人”是安全链条中最薄弱的一环，因此抵御或者说减少社会工程学的有效之道还是以人为中心的信息安全文化模型的创建。但是这种结合了复杂的“社工”技巧的攻击防范并不简单，员工需要通过系统、长期的培训，提升识别假冒邮件的能力，以及网络社交工具的良好使用习惯。

行业热点：

了解亚信安全，请点击“阅读原文”