摘要：企业微信新近更新了一份“管理员安全指引”，意在提醒私域从业者们留心当下一些面向企微的新型诈骗手段，一共包含了五大类。

企业微信新近更新了一份“管理员安全指引”，意在提醒私域从业者们留心当下一些面向企微的新型诈骗手段，一共包含了五大类。

值得留意的是，就在昨天，见实刚刚梳理了一个类似风险（莫名其妙多了好多陌生员工：一场差点被灰产侵入私域的事件）。去年早些时候，也曾公开过另外的警示（当心！有人盯上了你的私域）。

新更新的安全指引，即对应上述相似事件而做。相比之下，指引中囊括的新型诈骗手段更多。在指引中，包括如下（引自原文）：

1.诱导员工下载木马病毒

不法分子会通过各种手段，诱导企业员工下载带有银狐等木马病毒的软件。例如，用假冒的财税稽查通知作为“诱饵”，诱导公司财务点击下载链接，或给员工转发带有病毒的假文件；又或者伪装成各类办公软件、热点AI工具的官方网站，让员工误以为下载的是正版软件。

不法分子通过木马病毒远程控制电脑后，便会短时间大量拉群并发送诈骗链接，以邀请投票等名义骗取群内用户的微信账号密码，或以发放工资补贴的名义在企业内部进行经济诈骗。一旦有人中招，就可能给企业带来巨大经济损失。

值得留意的是，在指引开篇，企微也明确点出：

近期国内“银狐”等电脑木马病毒猖獗。不法分子通过病毒远程控制电脑后，短时间大量拉群并发送诈骗链接，以邀请投票等名义骗取群内用户的微信账号密码，或通过伪造奖金、财务税务通知等主题的钓鱼信息，进行经济诈骗。

2.骗取企业员工账号

不法分子穿着工作服进到企业办公场所，声称是某某企业做“地推”、给某某地图做标注，需要借用员工手机操作，迷惑性极强。其实是为了获取员工的手机号、验证码，登录企业微信。

不法分子盗取员工账号后，可能会在企业内进行欺诈，也可能会泄露企业的通讯录架构、聊天记录等机密信息，后果严重。

3.向员工租买账号、或通过员工邀请混入企业通讯录

部分员工安全意识淡薄、贪小便宜，将企业微信账号租售给黑产团伙。黑产团伙用租来的员工账号招摇撞骗，一旦最终落网，帮助犯罪者也要承担法律责任。

部分企业后台设置允许员工邀请账号他人加入通讯录，但有的员工有可能被不法分子蒙骗或买通，邀请身份不明的外部人员进入企业，构成安全隐患。

4.通过API接口混入企业

个别企业自己开发了快速完善通讯录的小程序/网页，并对外开放，邀请员工填写信息加入。但身份验证时，没有企业HR系统人员名单相互验证员工身份，而让员工输入姓名、手机号、工号等就能加入企业。不法分子如果盗取了员工信息，很容易就能混进企业。

5.不法分子进入企业后，进一步骗取管理员权限

管理员账号拥有企业的很多权限，开通需谨慎。一旦被盗取，企业将面临极大风险。例如，不法分子可能会凭借管理员身份，骚扰、诈骗企业内部员工、客户和上下游的供应商、经销商。

针对这些潜在危害，企微在指引开始，即简明建议各个企业的企业管理员采取如下4种一些具体防范措施，并随后在文档中再度详细展开各种防范细节。

1.警惕以上新型诈骗手段，了解防范措施；

3.将企业微信各项安全设置设为最高等级，加固安全屏障；

4.及时更新电脑操作系统，将杀毒软件及防火墙升级至最新版本，并定期查杀，以抵御各种木马病毒和恶意软件攻击。

如下这些信息，是企微于“管理员安全指引”中详细展开的各种安全防护措施：

一、针对木马病毒攻击

（一）管理员强化企业安全防护

● 及时更新电脑操作系统，将杀毒软件及防火墙升级至最新版本，并定期查杀，以抵御各种木马软件和恶意软件攻击。

● 在企业内部网络边界设置严格的访问控制策略，限制外部未经授权的设备和网络访问内部资源。

● 及时将企业微信升级到最新版本。

（二）提醒员工注意以下要点

● 办公电脑应设置“不操作时自动锁屏”；离开办公室时，应及时退出企业微信，或关闭电脑运行。

● 如果发现企业微信内出现可疑文件、链接传播，或受到骚扰、遇到疑似病毒感染等情况，第一时间向管理员报告。

● 谨慎点击来自不明来源的文件或网址链接，重点留意[.exe]、[.zip]、[.rar]、[.7z]、[.tgz]、[.cab]、[.bat]、[.com]、[.chm]、[.iso]、[.msi]后缀格式的文件。

● 不要随意下载和安装未经官方认证的软件，防止软件携带恶意代码入侵系统。

● 避免在别人的手机或公共电脑等不安全环境上使用企业微信，一机多人使用的情况，使用完要立刻退出登录，且不要设置自动登录。

二、针对企业内员工人为因素导致的信息泄露

（一）加强企业全员的信息安全教育

管理员可以提醒全体员工注意账号安全

● 不要把装有企业微信的手机交给陌生人操作

● 不要把公司外部人员邀请进企业

否则可能面临企业内部处罚，甚至法律制裁。

（二）严控加入企业的设置、通讯录相关接口的使用

● 当企业通讯录完善后，建议在管理后台禁止员工邀请他人加入企业，加入企业须经过管理员审核，降低不法分子混入企业的可能性。

● 在自建应用、授权第三方应用时，注意检查是否合理使用通讯录接口。如果是自己开发了加入通讯录的小程序/网页，一定要确保加入者是企业HR系统已经登记在册的员工。

（三）加强员工账号的风险监测

● 定期清理通讯录，把已离职的员工和公司外部人员移出通讯录

● 定期查看企业成员的操作记录，如果发现有员工多次使用登录新设备、换绑手机/微信号等异常情况，可以与员工本人核实情况

● 强烈建议，对信息安全要求较高的企业，开发员工登录时二次验证的功能。企业微信已开放接口帮助企业验证员工的登录频率。

（四）加强管理员账号的自查，严控管理权限

● 新增管理员时，一定要再三核实本人身份。

● 定期查看管理员的操作记录，对于异常操作记录人工确认是否出现隐患。

（五）保护企业内部信息安全

● 为了防止不法分子冒充企业员工，对外添加他人微信，实施诈骗，建议只给有对外沟通需要的部分员工开通互通微信的权限。

● 为了防止不法分子冒充企业员工，诈骗合作伙伴，当企业上下游完善后，建议在管理后台禁止员工创建上下游。

● 为了防止混入企业的不法分子把内部信息截屏泄密，建议开启在聊天、应用和通讯录界面的水印，可以帮助追溯泄密账号。

企微于指引最后表示，对危害平台和企业安全的违法犯罪行为，企业微信安全团队将严格按照《企业微信用户账号使用规范》国家相关法律法规进行处理。

PS.

↘私域服务对接

来源：见实科技一点号