波耐蒙研究所（Ponemon Institute）：2021年网络钓鱼成本研究（英文版）（39页）.pdf

1、波奈蒙研究所很高兴地展示了由Proofpoint赞助的2021年钓鱼成本研究的结果。本研究最初于2015年开展，目的是了解网络钓鱼的风险和财务后果。在今年的研究中，我们第一次关注由商务邮件泄露(BEC)、身份认证和勒索软件在工作场所造成的威胁和成本。这项研究的关键结论是，自2015年以来，成本显著增加。此外，由于新冠肺炎疫情，许多组织在确保越来越多的远程工作人员方面面临困难，预计成功的网络钓鱼攻击将会增加。我们调查了美国591名lT和lT安全从业人员。44%的受访者来自拥有1000名或以上员工的企业，这些员工可以使用企业电子邮件系统。以下发现表明，网络钓鱼攻击对组织有重大影响，不仅因为财务后果

2、，而且因为这些攻击增加了数据泄露的可能性，降低了员工的工作效率，增加了业务中断的可能性。自2015年以来，网络钓鱼的成本增加了两倍多。网络钓鱼的平均年成本从2015年的380万美元增加到2021年的1480万美元。解决攻击最耗时的任务是清理和修复受感染的系统，并进行取证调查。文件编制和规划是最省时的任务。员工生产力的损失是网络钓鱼成本的一个重要组成部分。员工生产力损失是企业最昂贵的损失之一，从2015年的平均180万美元大幅增加到2021年的320万美元。员工们花了更多的时间来处理网络钓鱼诈骗的后果。我们估计的根据员工/用户每年查看和可能回复钓鱼邮件的时间计算，生产率损失平均为每年7小时，而2

3、015年为4小时。解决恶意软件感染的成本是网络钓鱼的总成本的两倍。2021年，解决恶意软件攻击的平均总成本为807506美元，高于33.8098美元。由于无法包含恶意软件而造成的成本从平均310万美元增加到530万美元，增加了一倍多。信誉方面的妥协急剧增加。因此，各组织正在花费更多的钱来应对这些攻击。包含基于网络钓鱼的证书妥协的平均成本从2015年的381920美元增加到2021年的692531美元。在过去的12个月里，企业平均经历了5.3次妥协。未包含的凭据妥协增加了一倍以上。受影响而未包含的证书的平均总成本为210万美元，较2015年的100万美元大幅增长。BEC是一种安全漏洞，攻击者的目标是能够访问组织资金或数据的员工。BEC攻击的平均总成本为596万美元(见表1a)。根据调查结果，推测BECattack造成的平均最大损失为812万美元。支付给BEC攻击者的平均总金额为117万美元。