Co je kompromitace firemního e-mailu (BEC)?

Kompromitace firemního e-mailu je kybernetický útok, při kterém se zločinci vydávají za někoho, komu důvěřujete, aby vás přiměli poslat peníze nebo předat citlivá data. Útočníci tráví týdny tím, že zjišťují, jak firma komunikuje, kdo má rozhodovací pravomoc a kdy udeřit. Když e-mail nakonec dorazí, vypadá jako běžný e-mail od někoho, koho znáte.

Jak funguje útok BEC?

Tyto útoky mají osvědčený scénář a podvodníci se ho drží pokaždé.

Krok 1 – Najít cíl

Smyslem útoku kompromitace firemního e-mailu je to, že musí být přesvědčivý. Naštěstí pro útočníky je internet zlatý důl informací o potenciálních cílech. Rychlý pohled na váš profil na sociálních sítích může odhalit vaši práci, blízké přátele a dokonce i tón vašeho hlasu. Když to spojíte s tiskovými zprávami o budoucích krocích vaší firmy a medailonky z firemních webů, začne to působit věrohodně.

Útočníci mohou všechny tyto informace sesbírat a během několika sekund vytvořit e-mail, který vypadá i zní jako pravý.

Krok 2 – Dostat se do schránky

Aby obsah e-mailu působil skutečně, musí ho útočníci zabalit do naleštěného a uvěřitelného obalu. Pokud e-mailová adresa nevypadá, že pochází z důvěryhodného zdroje, celý podvod selže.

Útočníci mohou doménu podvrhnout registrací názvu jako acme-corp.com místo acmecorp.com. Nebo, pokud jsou dost chytří, napadnou skutečnou schránku, takže je téměř nemožné ji odlišit od pravé zprávy.

Koneckonců, když to vypadá jako kachna a kváká to jako kachna, většina lidí si bude myslet, že je to kachna.

Krok 3 – Vybudování důvěry

U těchto útoků je trpělivost základem úspěchu. Útočníci se mohou týdny skrývat v napadené schránce, číst e-mailová vlákna a učit se komunikační styly. Když e-mail konečně dorazí, zapadne mezi předchozí zprávy a napodobuje tón i průběh konverzace.

Krok 4 – Vznesení požadavku

Jakmile útočníci vědí vše o vás — váš tón hlasu, jména a pracovní pozice vašich kolegů i to, co se děje ve vaší firmě — a úspěšně se dostanou do vašeho e-mailu, požadavek je odeslán.

Obvykle jde o něco, co nelze snadno vzít zpět. Může jít o poslání peněz na bankovní účet nebo sdílení soukromých informací. Klíčové je, že to musí být nevratné. 

Jakmile si cíl uvědomí, že je něco špatně, útočník potřebuje, aby už byla škoda napáchána. Pokud jsou obzvlášť mazaní, mohou to dokonce poslat během svátečního období, kdy je ostražitost všech nižší a šance na úspěch vyšší.

Krok 5 – Zmizet beze stopy

Po odeslání prostředků jsou peníze rychle přesunuty přes řadu zprostředkujících účtů. Ty se obvykle nacházejí v zahraničí, takže stopu peněz je velmi obtížné sledovat i pro orgány činné v trestním řízení.

Příklad kompromitace firemního e-mailu

Kompromitace firemního e-mailu je finální boss digitálních útoků. Obvykle se týká velkých společností a závratných částek peněz.

Toyota Boshoku ($37M)

V roce 2019 přišel jeden z hlavních dodavatelů Toyoty o desítky milionů při jediném převodu. Útočník se naboural do e-mailového systému Toyota Boshoku. Četl zprávy a zjišťoval, jak firma komunikuje. Když se v konverzaci objevila velká peněžní transakce, požádal někoho ve firmě s pravomocí přesouvat peníze, aby aktualizoval údaje o bankovním účtu pro převod. Vypadalo to legitimně a peníze byly odeslány. 

A jen tak bylo 37 milionů dolarů pryč.

Google and Facebook ($120M)

V letech 2013 až 2015 zasáhl Google a Facebook vrcholný podvod s falešným dodavatelem. Zločinec zaregistroval falešnou firmu s přesně stejným názvem jako legitimní výrobce hardwaru, kterého obě společnosti používaly. Falšoval smlouvy a posílal běžně vypadající faktury přímo jejich účetním oddělením. Protože dodavatel už byl prověřený a důvěryhodný, platby byly schváleny bez dalšího přemýšlení. Během dvou let šlo více než 120 milionů dolarů přímo na bankovní účty podvodníka.

Ubiquiti Networks ($46.7M)

V roce 2015 se obětí podobného podvodu stal síťový gigant Ubiquiti. Útočník se neobtěžoval zakládat falešnou firmu ani hackovat dodavatele třetích stran. Místo toho se naboural dovnitř, vydával se za vrcholové manažery společnosti a posílal naléhavé žádosti o převod přímo internímu finančnímu oddělení. Zaměstnanec se spolehl čistě na autoritu jména falešného vedoucího pracovníka, splnil pokyny a poslal prostředky do zahraničí. Než se kdokoli zastavil, aby vše znovu ověřil, bylo odesláno 46,7 milionu dolarů.

Typy útoků kompromitace firemního e-mailu

Ne všechny příklady kompromitace firemního e-mailu vypadají stejně. Cíl je samozřejmě vždy přimět lidi, aby předali co nejvíce peněz, ale přístup může být velmi odlišný.

CEO Fraud (vydávání se za vedení)

Jde o nejznámější formu BEC. Útočník se vydává za vysoce postaveného vedoucího pracovníka, obvykle CEO nebo CFO, a tlačí na někoho z financí, aby přesunul peníze. Funguje to kvůli mocenské dynamice. Když šéf něco chce, většina lidí se nezastaví, aby se ptala proč. Pokud se to navíc spojí s uvěřitelným příběhem na pozadí, stačí to k tomu, aby někdo jednal bez druhého přemýšlení.

Kompromitace e-mailu dodavatele

Útočníci se zaměřují na vztahy mimo firmu, místo aby předstírali, že jsou někým uvnitř. Cílí na důvěryhodné dodavatele a obchodní partnery, vplíží se do existujících e-mailových konverzací a vymění skutečné platební údaje za své vlastní. Z pohledu oběti to vypadá jako běžná aktualizace faktury od dodavatele, se kterým spolupracuje už roky.

Převzetí účtu

Toto je nejnebezpečnější varianta, protože nejde o žádné spoofingové napodobení. Útočník používá skutečný účet. E-mail přichází ze skutečné adresy a používá správný tón. Zpráva vypadá naprosto normálně, protože technicky vzato normální je.

Odklonění výplaty

Tento typ necílí na peníze firmy. Místo toho cílí na zaměstnance. Útočníci se vydávají za HR nebo za zaměstnance a požádají o aktualizaci mzdových údajů, čímž nenápadně přesměrují výplatu na účet, který ovládají. 

Oběť na to přijde až v den výplaty, a protože částky jsou menší a požadavek vypadá normálně, zřídka to spustí upozornění na podvod. Je to pomalejší verze BEC, ale když zasáhne dostatek zaměstnanců, rychle se to nasčítá.

BEC vs phishing – Jaký je rozdíl?

Phishingové e-maily existují už dlouho a většina lidí ví, jak vypadají. Je to ten typ, který vám tvrdí, že jste vyhráli cenu nebo že nigerijský princ potřebuje vaši pomoc. Posílají se hromadně a spoléhají na čistý objem, aby někoho zaskočily.

Zatímco phishing je síť, BEC je odstřelovač. Útočníci tráví týdny průzkumem jedné firmy, někdy i jedné konkrétní osoby. Když e-mail nakonec dorazí, vypadá jako úterní ranní zpráva od někoho, koho znáte.

Phishing obvykle cílí na vaše přihlašovací údaje, ale BEC tento krok úplně přeskočí a jde rovnou po penězích nebo datech.

Jak rozpoznat útok kompromitace firemního e-mailu

Útoky BEC jsou navrženy tak, aby vypadaly normálně. Ale pokud víte, na co se zaměřit, známky tam jsou.

• Nátlak na rychlost— E-mail vás tlačí k rychlému přesunu peněz, bez prostoru zastavit se a vše ověřit.

• Náhlá změna — Dodavatel nebo kolega zničehonic aktualizoval své platební údaje.

• Adresa, která je skoro správně — E-mail odesílatele se od té skutečné liší jen o jeden znak.

• Tón, který nesedí— Něco nesedí, je to příliš formální, příliš neformální nebo podivně tajnůstkářské.

• Požadavek odnikud — Jste požádáni udělat něco, co by normálně proběhlo jiným kanálem.
  

Jak zabránit útoku kompromitace firemního e-mailu

Vědět, jak tyto útoky fungují, je polovina úspěchu. Druhá polovina spočívá v tom, aby vaše firma nebyla snadným cílem.

Zvedněte telefon

Pokud vás e-mail žádá o převod peněz nebo aktualizaci platebních údajů, neodpovídejte na něj. Zavolejte dané osobě přímo pomocí čísla, které už máte, ne toho z e-mailu. Zabere to třicet sekund a je to ta nejúčinnější věc, kterou můžete udělat.

Zapněte dvoufaktorové ověřování

Pokud se útočník dostane k něčím přihlašovacím údajům, 2FA může zablokovat úplné převzetí schránky. Nezastaví všechno, ale výrazně ztěžuje kompromitaci účtu.

Naučte svůj tým, jak vypadá správný postup

Pravidelné školení o tom, co je BEC, jak funguje a jak vypadají varovné signály, může z vašich zaměstnanců udělat obrannou linii.

Nechte část těžké práce na svých nástrojích

Spamové filtry a nástroje pro ověřování domén, jako jsou SPF, DKIM, and DMARC, mohou odfiltrovat pokusy o BEC dříve, než se dostanou k vašemu týmu. Detekce založená na AI jde ještě dál. Učí se, jak vypadá běžné e-mailové chování ve vaší organizaci, a označuje vše podezřelé.