बिज़नेस ईमेल कॉम्प्रोमाइज़ (BEC) क्या है?

हर साल, अपराधी अरबों लेकर चले जाते हैं। किसी आलीशान आर्ट गैलरी या बैंक वॉल्ट में सेंध लगाकर नहीं, बल्कि सही समय पर सही व्यक्ति को सही ईमेल भेजकर। वे ऐसा ही करते हैं.

इस लेख में, आप जानेंगे:

• बिज़नेस ईमेल कॉम्प्रोमाइज़ वास्तव में क्या है

• ये हमले कैसे किए जाते हैं, चरण दर चरण

• BEC हमलों के सबसे आम प्रकार

• $37 million के हमले का एक वास्तविक उदाहरण

• अपने व्यवसाय को लक्ष्य बनने से पहले कैसे सुरक्षित रखें

साइबरसिक्योरिटी में बिज़नेस ईमेल कॉम्प्रोमाइज़ क्या है?

बिज़नेस ईमेल कॉम्प्रोमाइज़ एक साइबर हमला है जिसमें अपराधी किसी भरोसेमंद व्यक्ति का रूप धरकर आपको पैसे भेजने या संवेदनशील डेटा सौंपने के लिए धोखा देते हैं। इसे खतरनाक बनाने वाली चीज़ है धैर्य और योजना। हमलावर हफ्तों तक यह सीखते हैं कि कोई कंपनी कैसे संवाद करती है, अधिकार किसके पास है, और हमला कब करना है। जब तक ईमेल पहुंचता है, वह किसी परिचित व्यक्ति का सामान्य ईमेल लगता है.

बिज़नेस ईमेल कॉम्प्रोमाइज़ हमला कैसे काम करता है?

इन हमलों के लिए एक आजमाई हुई और भरोसेमंद कार्ययोजना होती है, और ठग हर बार उसी का पालन करते हैं.

चरण 1 – लक्ष्य खोजें

बिज़नेस ईमेल कॉम्प्रोमाइज़ हमले का पूरा मकसद यही है कि वह भरोसेमंद लगे। हमलावरों के लिए सौभाग्य से, इंटरनेट संभावित लक्ष्यों की जानकारी का खजाना है। आपके सोशल मीडिया प्रोफ़ाइल पर एक नज़र डालने से आपकी नौकरी, करीबी दोस्त, और यहां तक कि आपकी बोलने की शैली भी पता चल सकती है। इसे आपकी कंपनी की भविष्य की योजनाओं पर प्रेस रिलीज़ और कंपनी वेबसाइटों पर मौजूद बायो के साथ जोड़ दें, तो यह विश्वसनीय लगने लगता है.

हमलावर वह सारी जानकारी इकट्ठा कर सकते हैं और कुछ ही सेकंड में ऐसा ईमेल बना सकते हैं जो बिल्कुल असली जैसा दिखे और लगे.

चरण 2 – इनबॉक्स के अंदर पहुंचें

ईमेल की सामग्री को असली दिखाने के लिए, हमलावरों को उसे एक आकर्षक और भरोसेमंद पैकेज में पेश करना होता है। अगर ईमेल पता किसी विश्वसनीय स्रोत का नहीं लगता, तो पूरा घोटाला बेअसर हो जाएगा.

हमलावर acmecorp.com की जगह acme-corp.com जैसा नाम रजिस्टर करके डोमेन की नकल कर सकते हैं। या, अगर वे काफी चालाक हों, तो असली इनबॉक्स हैक कर सकते हैं, जिससे उसे असली संदेश से अलग पहचानना लगभग असंभव हो जाता है.

आखिरकार, अगर वह बत्तख जैसा दिखता है और बत्तख जैसी आवाज़ करता है, तो ज़्यादातर लोग उसे बत्तख ही समझेंगे.

चरण 3 – भरोसा बनाएं

इन हमलों में धैर्य ही सबसे बड़ा हथियार होता है। हमलावर हफ्तों तक हैक किए गए इनबॉक्स में छिपे रह सकते हैं, ईमेल थ्रेड पढ़ते हैं और संचार शैली सीखते हैं। जब आखिरकार ईमेल आता है, तो वह पिछले ईमेलों में घुलमिल जाता है और बातचीत के लहजे और प्रवाह की नकल करता है.

चरण 4 – मांग रखें

जब हमलावर आपको पूरी तरह समझ लेते हैं — आपकी बोलने की शैली, आपके सहकर्मियों के नाम और पद, और आपकी कंपनी में क्या चल रहा है — और वे सफलतापूर्वक आपके ईमेल तक पहुंच बना लेते हैं, तब अनुरोध भेजा जाता है.

आमतौर पर यह ऐसा कुछ होता है जिसे आसानी से वापस नहीं लिया जा सकता। इसमें किसी बैंक खाते में पैसे भेजना या निजी जानकारी साझा करना शामिल हो सकता है। मुख्य बात यह है कि यह अपरिवर्तनीय होना चाहिए. 

जब तक लक्ष्य को एहसास होता है कि कुछ गलत है, हमलावर चाहता है कि नुकसान पहले ही हो चुका हो। अगर वे बहुत ज्यादा चालाक हों, तो वे इसे किसी त्योहार के दौरान भी भेज सकते हैं, जब सबकी सतर्कता कम होती है और सफलता की संभावना अधिक होती है.

चरण 5 – बिना कोई निशान छोड़े गायब हो जाएं

पैसे भेजे जाने के बाद, उन्हें जल्दी से कई मध्यस्थ खातों के जरिए आगे बढ़ा दिया जाता है। ये आमतौर पर विदेशों में स्थित होते हैं, जिससे कानून प्रवर्तन एजेंसियों के लिए भी पैसे के रास्ते का पता लगाना बहुत मुश्किल हो जाता है.

बिज़नेस ईमेल कॉम्प्रोमाइज़ का उदाहरण

बिज़नेस ईमेल कॉम्प्रोमाइज़ डिजिटल हमलों का अंतिम बॉस है। इसमें आमतौर पर बड़ी कंपनियां और चौंका देने वाली रकम शामिल होती है. 

2019 में, Toyota के एक बड़े सप्लायर ने एक ही ट्रांसफर में करोड़ों डॉलर गंवा दिए। हमलावर ने Toyota Boshoku की ईमेल प्रणाली में सेंध लगा दी। उन्होंने संदेश पढ़े और सीखा कि कंपनी कैसे संवाद करती है। जब बड़ी रकम के ट्रांसफर की बात चल रही थी, तो उन्होंने कंपनी में पैसे ट्रांसफर करने का अधिकार रखने वाले व्यक्ति से ट्रांसफर के लिए बैंक खाते का विवरण अपडेट करने को कहा। यह वैध लगा, और पैसे भेज दिए गए.

बस ऐसे ही, $37 million, गायब.

बिज़नेस ईमेल कॉम्प्रोमाइज़ हमलों के प्रकार

बिज़नेस ईमेल कॉम्प्रोमाइज़ के सभी उदाहरण एक जैसे नहीं दिखते। बेशक, लक्ष्य हमेशा लोगों को जितना संभव हो उतना पैसा सौंपने के लिए धोखा देना होता है, लेकिन तरीका बहुत अलग हो सकता है.

CEO Fraud (कार्यकारी का प्रतिरूपण)

यह BEC का सबसे पहचाना जाने वाला रूप है। एक हमलावर किसी वरिष्ठ कार्यकारी, आमतौर पर CEO या CFO, का प्रतिरूपण करता है और वित्त विभाग में किसी पर पैसे ट्रांसफर करने का दबाव डालता है। यह शक्ति-संतुलन के कारण काम करता है। जब बॉस कुछ चाहता है, तो ज़्यादातर लोग रुककर यह नहीं पूछते कि क्यों। अगर इसके साथ एक विश्वसनीय पृष्ठभूमि कहानी भी जोड़ दी जाए, तो यह किसी को बिना दोबारा सोचे कार्रवाई करने के लिए काफी है.

Vendor email compromise

हमलावर कंपनी के अंदर किसी होने का नाटक करने के बजाय कंपनी के बाहर के संबंधों को निशाना बनाते हैं। वे भरोसेमंद सप्लायरों और वेंडरों को निशाना बनाते हैं, मौजूदा ईमेल बातचीत में घुस जाते हैं और असली भुगतान विवरण की जगह अपना विवरण डाल देते हैं। पीड़ित की ओर से, यह ऐसे दिखता है जैसे किसी ऐसे सप्लायर से नियमित इनवॉइस अपडेट आया हो जिसके साथ वे वर्षों से काम कर रहे हों.

अकाउंट टेकओवर

यह सबसे खतरनाक प्रकार है क्योंकि इसमें कोई स्पूफिंग शामिल नहीं होती। हमलावर असली अकाउंट का उपयोग कर रहा होता है। ईमेल असली पते से आता है और सही लहजे का इस्तेमाल करता है। संदेश पूरी तरह सामान्य दिखता है, क्योंकि तकनीकी रूप से वह सामान्य ही होता है.

Payroll Diversion

यह कंपनी के पैसे को निशाना नहीं बनाता। इसके बजाय, यह कर्मचारियों को निशाना बनाता है। हमलावर HR या किसी कर्मचारी के रूप में सामने आते हैं और पेरोल अपडेट का अनुरोध करते हैं, चुपचाप वेतन को उस खाते में मोड़ देते हैं जिसे वे नियंत्रित करते हैं. 

पीड़ित को इसका पता वेतन-दिवस तक नहीं चलता, और क्योंकि रकम छोटी होती है और अनुरोध सामान्य लगता है, यह शायद ही कभी धोखाधड़ी अलर्ट को ट्रिगर करता है। यह BEC का धीमा रूप है, लेकिन पर्याप्त कर्मचारियों को निशाना बनाओ, तो रकम तेजी से बढ़ जाती है.

BEC बनाम Phishing – क्या अंतर है?

Phishing ईमेल लंबे समय से मौजूद हैं, और ज़्यादातर लोग जानते हैं कि वे कैसे दिखते हैं। वही जो आपको बताता है कि आपने कोई इनाम जीता है, या कि किसी Nigerian prince को आपकी मदद चाहिए। इन्हें बड़ी संख्या में भेजा जाता है और ये किसी को असावधान पकड़ने के लिए भारी मात्रा पर निर्भर करते हैं.

जहां phishing एक जाल है, वहीं BEC एक स्नाइपर है। हमलावर एक कंपनी, कभी-कभी एक खास व्यक्ति, पर हफ्तों तक शोध करते हैं। जब तक ईमेल पहुंचता है, वह किसी परिचित व्यक्ति का मंगलवार सुबह का संदेश लगता है.

Phishing आमतौर पर आपके लॉगिन क्रेडेंशियल्स के पीछे होती है, लेकिन BEC उस चरण को पूरी तरह छोड़ देता है और सीधे पैसे या डेटा पर निशाना साधता है.

बिज़नेस ईमेल कॉम्प्रोमाइज़ हमले की पहचान कैसे करें

BEC हमलों को सामान्य दिखने के लिए डिज़ाइन किया जाता है। लेकिन अगर आप जानते हैं कि क्या देखना है, तो संकेत मौजूद होते हैं.

• जल्दबाज़ी— ऐसा ईमेल जो आप पर जल्दी पैसे ट्रांसफर करने का दबाव डाले, बिना रुके और सत्यापित किए.

• अचानक बदलाव — किसी सप्लायर या सहकर्मी ने अचानक बिना किसी वजह के अपनी भुगतान जानकारी अपडेट कर दी है.

• लगभग सही पता — प्रेषक का ईमेल असली पते से बस एक अक्षर अलग है.

• थोड़ा अजीब लगने वाला लहजा— कुछ अटपटा लगता है, बहुत औपचारिक, बहुत अनौपचारिक, या अजीब तरह से गोपनीय.

• अचानक आया अनुरोध — आपसे ऐसा कुछ करने को कहा जाता है जो सामान्यतः किसी दूसरे माध्यम से किया जाता.

बिज़नेस ईमेल कॉम्प्रोमाइज़ हमले को कैसे रोकें

यह जानना कि ये हमले कैसे काम करते हैं, आधी लड़ाई है। बाकी आधी यह सुनिश्चित करना है कि आपका व्यवसाय आसान निशाना न बने.

फोन उठाएं

अगर कोई ईमेल आपसे पैसे ट्रांसफर करने या भुगतान विवरण अपडेट करने को कहता है, तो उसका जवाब न दें। उस व्यक्ति को सीधे उस नंबर पर कॉल करें जो आपके पास पहले से है, ईमेल में दिए गए नंबर पर नहीं। इसमें तीस सेकंड लगते हैं, और यह सबसे प्रभावी काम है जो आप कर सकते हैं.

टू-फैक्टर ऑथेंटिकेशन चालू करें

अगर किसी हमलावर को किसी के लॉगिन क्रेडेंशियल्स मिल जाते हैं, 2FA पूरे इनबॉक्स टेकओवर को रोक सकता है। यह सब कुछ नहीं रोकेगा, लेकिन अकाउंट कॉम्प्रोमाइज़ को काफी कठिन बना देता है.

अपनी टीम को सिखाएं कि सही चीज़ कैसी दिखती है

BEC क्या है, यह कैसे काम करता है, और चेतावनी संकेत कैसे दिखते हैं, इस पर नियमित प्रशिक्षण आपके कर्मचारियों को रक्षा की एक पंक्ति में बदल सकता है.

अपने टूल्स को कुछ भारी काम करने दें

Spam filters और domain authentication tools जैसे SPF, DKIM, and DMARC आपकी टीम तक पहुंचने से पहले BEC प्रयासों को फ़िल्टर कर सकते हैं। AI-आधारित डिटेक्शन इससे एक कदम आगे जाता है। यह सीखता है कि आपके संगठन के भीतर सामान्य ईमेल व्यवहार कैसा दिखता है और किसी भी संदिग्ध चीज़ को फ़्लैग करता है.