近日，中睿天下联合CAC邮件安全大数据中心（以下简称CAC中心）发布《2022年第四季度企业邮箱安全报告》，对当前企业邮箱的应用状况和安全风险进行了分析。

1.垃圾邮件同比下降22.16%

日前，CAC（Coremail Anti Spam）邮件安全大数据中心（以下简称CAC中心）发布《2022年第四季度企业邮箱安全报告》，对当前企业邮箱的应用状况和安全风险进行了分析。

根据CAC中监测，2022,Q4 Coremail服务企业邮箱用户共收到5.88亿垃圾邮件，环比下降14.92%，同比下降达22.61%。

图：2021,Q4~2022,Q4垃圾邮件数量走势

图：2022,Q4 CAC中心 识别邮件类型分布

CAC中心监测Q4正常邮件收发量占比53.42%，数量为6.58亿，色情赌博类邮件、谣言反动类邮件、钓鱼邮件数量分别为990.3万、507万、6662.4万。维护良好的邮件安全生态环境，离不开对威胁邮件的综合治理，综合提升网络安全系数，保障人民财产安全。

垃圾邮件总量继续出现同比和环比下降，第四季度CAC中心针对失陷账号（失陷账号指Coremail对邮件账号监测与分析判定为异常，已被黑产团伙控制的账号）的处置使得Coremail服务客户外发垃圾邮件的数量下降，平均每周的外发垃圾邮件数量减少了1000万封，治理效果初见成效。

2.垃圾邮件发送源及接收源分析

图：Q4 2022 境外垃圾邮件攻击IP来源 TOP 10国家

企业用户收到来自美国的垃圾邮件从2021,Q3~2022,Q3连续4个季度登顶发送源榜首后，于2022,Q4下跌至第二位，向中国境内发送超过816.9万垃圾邮件。

罗马尼亚上升至首位，垃圾邮件发送量为1017.6万；法国、印度尼西亚、印度、俄罗斯紧跟美国其后，发送量分别为458.3万、428.8万、408.1万。此处的数据应引起警惕，攻击者开始逐步扩大和转移用于攻击的IP池，这里的罗马尼亚IP的高频利用属于IP池轮动的一种表现，下一季度可能又会更换成其他地区的IP。从数据的趋势预判来看，我们防范攻击IP的手段，应该逐步从黑名单（即被动式的拉黑攻击IP）过渡到白名单（即主动式地允许信誉在合理范围内的IP进行交互）进行转变。

来自中国归属地的垃圾邮件数量来源TOP10分析中，来自北京、浙江、江苏的发送量占据前三，发送量分别为935.2万、591.6万、336.4万。由于国内的服务器资源主要集中北京、浙江、江苏，所以被利用作国内发起攻击的IP是在预料之内的。但被利用的频率过高，也足以说明国内对IP资源的管控力度有待加强。

3.钓鱼邮件攻击环比上升 48.12%

图：2021，Q4~2022，Q4钓鱼邮件数量走势

钓鱼邮件社会危害性较大，黑产团伙会根据社会热点新闻、如人才补贴、银行年审、外贸快递、财务结算确认等多种主题诱使用户点击邮件中的钓鱼链接，进而窃取敏感数据、个人银行账户和密码等信息。

对比“Q3 CAC中心识别钓鱼邮件数量”，Q4钓鱼邮件攀升至6662.4万，环比上升13.9%，同比上升21.8%。

从全年数据而言，2021年CAC识别钓鱼邮件1.81亿，2022年上升至2.25亿，增幅高达24.1%，这表明2022年平均每天有61万7088封钓鱼邮件被接收及发出，企业用户面临潜在经济损失不可估量。

4.Q4恶意邮件案例分析

【国家下发劳务/人才补贴】主题诈骗邮件

1.诈骗邮件详情

Coremail从2021年12月开始披露关于黑产团伙冒充国家相关部门下发补贴的钓鱼邮件，主题基本为【工资补贴通知】【《2022财务补贴声明》】等，该组织通过诱导受害者输入银行卡及密码进行实时诈骗，中睿天下该邮件进行了深度溯源，邮件正文是工资补贴通知，在正文中放置了一张二维码图片，诱导收件人扫描正文中二维码，邮件附件的内容和邮件正文一样，并未携带病毒和可执行文件。

在过去的2022年，此类补贴诈骗钓鱼邮件不仅日益猖獗，攻击手法也不断变种。2022,Q2~Q3攻击手法转变为先盗号，使用被盗账号伪装为公司“财务部”“人事部”等公司内部相关人员，向域内大量传播诈骗邮件，利用域内邮箱的高信用度躲避反垃圾反钓鱼检测、骗取“同事”的信任。主题也发展为【XX月份补贴发放通知】【XXX+补贴】【XXX集团财务部-关于发布最新补贴通知】,此诈骗邮件在5月份甚至导致了某门户邮箱网站员工受骗，引发了广泛讨论。

而Q4，黑产团伙偏向使用不同的文案逃避邮件系统厂商反钓鱼检测。Q4常见的钓鱼主题有【2022年末（补贴）补贴须知】、【重要通知】、【2022薪资调整】等，同时正文更多使用图片形式插入，对邮件厂商的反垃圾反钓鱼图片OCR引擎产生极大考验。

2.防护策略

1)不要轻易在可疑网站中输入个人身份信息、银行卡号、密码。

2)提高密码策略要求，设置域内必须使用强密码，并建议进行弱密码扫描，及时修改弱密码以防邮箱被盗。

3)提高警惕，收到相关补贴通知类邮件请务必进行单位内部确认；切勿轻易点击邮件中的可疑链接或扫描二维码！

4)请确保您的反垃圾功能正常开启或使用邮件安全网关进行拦截防护。

5)建议进行【反钓鱼演练】，并对公司重要岗位职工（财务、管理层）进行安全意识教育；

6)如遇可疑情况，可拨打96110咨询求助；或下载国家反诈中心APP，关注【国际互联网应急响应中心CNCERT】服务号，学习网络安全知识，防诈反诈。

5.中睿天下溯源深度案例

主题:****证书迁移通知

1 ．概述

攻击者采用正文中隐藏链接进行邮件钓鱼，钓鱼链接为获取用户邮箱账号密码等信息。 通过对域名及 IP 多维度分析判断本次攻击为黑产谋利 ，排除 APT 攻击。

2 ．邮件详情

3 ．邮件源码分析

对发件服务器 IP 180.111.107.7 进行分析发现为中国江苏省南京市家庭宽带;对邮件来源 IP 45.136.5.127 进行分析发现为土耳其伊斯坦布尔省伊斯坦布尔被标记为垃圾邮件。

对发件域进行分析发现 SPF 配置可伪造

4 ．样本分析

访问恶意链接发现为获取邮箱账号密码

对域名进行分析被标记为黑灰产