Какво е компрометиране на бизнес имейл (BEC)?

Всяка година престъпници се измъкват с милиарди. Не като проникват в лъскави художествени галерии или банкови трезори, а като изпращат правилния имейл на правилния човек в правилния момент. Ето как го правят.

В тази статия ще научите:

• Какво всъщност представлява компрометирането на бизнес имейл

• Как се извършват тези атаки, стъпка по стъпка

• Най-често срещаните видове BEC атаки

• Реален пример за атака за $37 million

• Как да защитите бизнеса си, преди да се превърне в цел

Какво е компрометиране на бизнес имейл в киберсигурността?

Компрометирането на бизнес имейл е кибератака, при която престъпници се представят за човек, на когото имате доверие, за да ви подмамят да изпратите пари или да предадете чувствителни данни. Това, което го прави опасно, са търпението и планирането. Нападателите прекарват седмици в изучаване на това как комуникира една компания, кой има правомощия и кога да нанесат удар. Когато имейлът пристигне, той изглежда като нормален имейл от човек, когото познавате.

Как работи атака с компрометиране на бизнес имейл?

За тези атаки има изпитан сценарий и измамниците го следват всеки път.

Стъпка 1 – Намерете целта

Целият смисъл на атаката с компрометиране на бизнес имейл е тя да бъде убедителна. За щастие на нападателите, интернет е златна мина от информация за потенциални цели. Един бърз поглед към профила ви в социалните мрежи може да разкрие работата ви, близките ви приятели и дори тона ви на изразяване. Съберете това с прессъобщения за бъдещите ходове на компанията ви и биографии от фирмени уебсайтове и всичко започва да изглежда достоверно.

Нападателите могат да съберат цялата тази информация и в рамките на секунди да създадат имейл, който изглежда и звучи като истинския.

Стъпка 2 – Влезте във входящата поща

За да изглежда съдържанието на имейла истинско, нападателите трябва да го опаковат в лъскав и правдоподобен пакет. Ако имейл адресът не изглежда като от надежден източник, цялата измама ще се провали.

Нападателите могат да подправят домейна, като регистрират име като acme-corp.com вместо acmecorp.com. Или, ако са достатъчно умни, да хакнат истинската входяща поща, което прави почти невъзможно разграничаването от истинско съобщение.

В крайна сметка, ако изглежда като патица и кряка като патица, повечето хора ще решат, че е патица.

Стъпка 3 – Изградете доверие

При тези атаки търпението е ключово. Нападателите могат да се крият в хакната входяща поща седмици наред, като четат имейл нишки и изучават стиловете на комуникация. Когато имейлът най-накрая пристигне, той се слива с предишните имейли, като отразява тона и хода на разговора.

Стъпка 4 – Направете искането

След като нападателите ви опознаят до най-малкия детайл — тона ви на изразяване, имената и длъжностите на колегите ви и какво се случва във вашата компания — и успешно са си проправили път до имейла ви, искането се изпраща.

Обикновено става дума за нещо, което не може лесно да бъде отменено. Може да включва изпращане на пари към банкова сметка или споделяне на лична информация. Ключовото е, че трябва да е необратимо. 

След като целта осъзнае, че нещо не е наред, нападателят трябва щетата вече да е нанесена. Ако са особено хитри, може дори да го изпратят по време на празничен период, когато бдителността на всички е понижена и шансът за успех е по-голям.

Стъпка 5 – Изчезнете без следа

След като средствата бъдат изпратени, те бързо се прехвърлят през поредица от междинни сметки. Те обикновено са в чужбина, което прави проследяването на парите много трудно дори за органите на реда.

Пример за компрометиране на бизнес имейл

Компрометирането на бизнес имейл е последният бос на дигиталните атаки. Обикновено включва големи компании и главозамайващи суми пари. 

През 2019 г. един от основните доставчици на Toyota загуби десетки милиони с един-единствен превод. Нападателят проникна в имейл системата на Toyota Boshoku. Те прочетоха съобщенията и научиха как компанията комуникира. Когато в разговор се появи голям паричен превод, те помолиха някого в компанията с правомощия да мести пари да актуализира банковите данни за превода. Изглеждаше легитимно и парите бяха изпратени.

Ето така, $37 million, изчезнаха.

Видове атаки с компрометиране на бизнес имейл

Не всички примери за компрометиране на бизнес имейл изглеждат еднакво. Разбира се, целта винаги е да се подмамят хората да предадат колкото се може повече пари, но подходът може да е много различен.

CEO Fraud (имитиране на ръководител)

Това е най-разпознаваемата форма на BEC. Нападател се представя за висш ръководител, обикновено CEO или CFO, и притиска някого от финансите да премести пари. Работи заради динамиката на властта. Когато шефът иска нещо, повечето хора не спират, за да попитат защо. Ако това се комбинира с правдоподобна предистория, е достатъчно, за да накара някого да действа, без да се замисли.

Компрометиране на имейл на доставчик

Нападателите се насочват към взаимоотношения извън компанията, вместо да се преструват на някого отвътре. Те атакуват доверени доставчици и партньори, промъкват се в съществуващи имейл разговори и заменят истинските данни за плащане със свои. От гледна точка на жертвата това изглежда като рутинна актуализация на фактура от доставчик, с когото работят от години.

Превземане на акаунт

Това е най-опасният вариант, защото не включва подправяне. Нападателят използва истинския акаунт. Имейлът идва от истински адрес и използва правилния тон. Съобщението изглежда напълно нормално, защото технически е такова.

Отклоняване на заплати

Този вариант не е насочен към парите на компанията. Вместо това е насочен към служителите. Нападателите се представят за HR или за служител и искат актуализация на ведомостта, като тихомълком пренасочват заплата към сметка, която контролират. 

Жертвата разбира едва в деня на заплата и тъй като сумите са по-малки, а искането изглежда нормално, това рядко задейства сигнал за измама. Това е по-бавна версия на BEC, но ако бъдат засегнати достатъчно служители, сумата бързо нараства.

BEC срещу Phishing – Каква е разликата?

Phishing имейлите съществуват отдавна, и повечето хора знаят как изглеждат. Това е онзи имейл, който ви казва, че сте спечелили награда или че нигерийски принц се нуждае от помощта ви. Те се изпращат масово и разчитат на огромен обем, за да хванат някого неподготвен.

Докато phishing е мрежа, BEC е снайперист. Нападателите прекарват седмици в проучване на една компания, понякога на един конкретен човек. Когато имейлът пристигне, той изглежда като съобщение във вторник сутрин от човек, когото познавате.

Phishing обикновено цели вашите данни за вход, но BEC изцяло пропуска тази стъпка и се насочва директно към парите или данните.

Как да разпознаете атака с компрометиране на бизнес имейл

BEC атаките са създадени да изглеждат нормално. Но ако знаете какво да търсите, признаците са налице.

• Припряността— Имейл, който ви притиска бързо да преместите пари, без възможност да спрете и да проверите.

• Внезапната промяна — Доставчик или колега внезапно е актуализирал информацията си за плащане без никакво предупреждение.

• Почти правилният адрес — Имейлът на подателя се различава само с един знак от истинския.

• Тонът, който е леко странен— Нещо не е наред, твърде официално, твърде небрежно или странно потайно.

• Искането от нищото — Искат от вас да направите нещо, което обикновено би минало през друг канал.

Как да предотвратите атака с компрометиране на бизнес имейл

Да знаете как работят тези атаки е половината от битката. Другата половина е да се уверите, че бизнесът ви не е лесна цел.

Вдигнете телефона

Ако имейл ви моли да прехвърлите пари или да актуализирате данни за плащане, не му отговаряйте. Обадете се директно на човека, като използвате номер, който вече имате, а не този от имейла. Отнема тридесет секунди и е най-ефективното нещо, което можете да направите.

Включете двуфакторно удостоверяване

Ако нападател получи данните за вход на някого, 2FA може да блокира пълно превземане на входящата поща. Това няма да спре всичко, но прави компрометирането на акаунт значително по-трудно.

Научете екипа си как изглежда добрата практика

Редовното обучение за това какво е BEC, как работи и как изглеждат предупредителните знаци може да превърне служителите ви в линия на защита.

Оставете инструментите си да поемат част от тежката работа

Филтрите за спам и инструментите за удостоверяване на домейни като SPF, DKIM, and DMARC могат да филтрират опитите за BEC, преди да достигнат до екипа ви. Базираното на AI откриване отива една стъпка по-далеч. То научава как изглежда нормалното поведение при имейлите във вашата организация и маркира всичко подозрително.