Mi az üzleti e-mail kompromittálás (BEC)?

Az üzleti e-mailes visszaélés egy olyan kibertámadás, amelyben a bűnözők egy megbízható személynek adják ki magukat, hogy pénzküldésre vagy érzékeny adatok átadására vegyenek rá. A támadók heteket töltenek azzal, hogy megtanulják, hogyan kommunikál egy vállalat, kinél van a döntési jogkör, és mikor érdemes lecsapni. Mire az e-mail megérkezik, úgy néz ki, mint egy szokásos e-mail valakitől, akit ismersz.

Hogyan működik egy BEC-támadás?

Ezeknek a támadásoknak van egy jól bevált forgatókönyve, és a csalók minden alkalommal ezt követik.

1. lépés – A célpont kiválasztása

Az üzleti e-mailes visszaéléses támadás lényege, hogy meggyőzőnek kell lennie. A támadók szerencséjére az internet valóságos aranybánya a lehetséges célpontokról szóló információk terén. Egy gyors pillantás a közösségimédia-profilodra felfedheti a munkádat, közeli barátaidat, sőt még a hangnemedet is. Ha ezt összerakják a céged jövőbeli lépéseiről szóló sajtóközleményekkel és a vállalati weboldalakon található bemutatkozásokkal, máris hitelesnek tűnik.

A támadók összegyűjthetik az összes ilyen információt, és másodperceken belül létrehozhatnak egy e-mailt, amely úgy néz ki és úgy hangzik, mint az igazi.

2. lépés – Bejutás a postafiókba

Ahhoz, hogy az e-mail tartalma valódinak tűnjön, a támadóknak egy csillogó, hihető csomagolásba kell burkolniuk. Ha az e-mail-cím nem tűnik megbízható forrásból származónak, az egész csalás kudarcot vall.

A támadók meghamisíthatják a domént például úgy, hogy az acmecorp.com helyett egy acme-corp.com-hoz hasonló nevet regisztrálnak. Vagy, ha elég ügyesek, feltörik a valódi postafiókot, így szinte lehetetlenné válik megkülönböztetni az üzenetet egy valóditól.

Végül is, ha úgy néz ki, mint egy kacsa, és úgy hápog, mint egy kacsa, a legtöbben azt fogják hinni, hogy kacsa.

3. lépés – Bizalomépítés

Ezeknél a támadásoknál a türelem a siker kulcsa. A támadók hetekig rejtőzhetnek egy feltört postafiókban, e-mail-szálakat olvasva és a kommunikációs stílust tanulmányozva. Mire végül megérkezik az e-mail, beleillik a korábbi levelezésbe, utánozva a beszélgetés hangnemét és menetét.

4. lépés – Kérés előterjesztése

Amint a támadók mindent tudnak rólad — a hangnemedet, a kollégáid nevét és beosztását, valamint azt, mi történik a cégedben —, és sikeresen beférkőztek az e-mailjeid közé, elküldik a kérést.

Ez általában olyasmi, amit nem lehet könnyen visszacsinálni. Lehet szó pénz átutalásáról egy bankszámlára vagy bizalmas információk megosztásáról. A lényeg az, hogy visszafordíthatatlan legyen. 

Mire a célpont rájön, hogy valami nincs rendben, a támadónak már azt kell elérnie, hogy a kár megtörténjen. Ha különösen alattomosak, akár ünnepi időszakban is elküldhetik, amikor mindenki kevésbé éber, és nagyobb az esély a sikerre.

5. lépés – Eltűnés nyomtalanul

Miután az összeget elküldték, gyorsan továbbmozgatják köztes számlák sorozatán keresztül. Ezek általában külföldön vannak, így a pénz útját még a bűnüldöző szervek számára is nagyon nehéz követni.

Példa üzleti e-mailes visszaélésre

Az üzleti e-mailes visszaélés a digitális támadások végső főellensége. Általában nagyvállalatokat és elképesztően nagy pénzösszegeket érint.

Toyota Boshoku ($37M)

2019-ben a Toyota egyik fő beszállítója egyetlen átutalással több tízmilliót veszített. A támadó betört a Toyota Boshoku e-mail-rendszerébe. Elolvasta az üzeneteket, és megtanulta, hogyan kommunikál a vállalat. Amikor egy nagy összegű átutalás szóba került, megkért valakit a cégnél, akinek jogosultsága volt pénzt mozgatni, hogy frissítse az átutaláshoz tartozó bankszámlaadatait. Minden hitelesnek tűnt, és a pénzt elküldték. 

És csak úgy, 37 millió dollár eltűnt.

Google and Facebook ($120M)

2013 és 2015 között a Google és a Facebook a hamis beszállítós csalás egyik legdurvább változatának esett áldozatul. Egy bűnöző hamis vállalkozást jegyzett be annak a legitim hardvergyártónak a pontos nevével, amelyet mindkét cég használt. Szerződéseket hamisított, és hétköznapinak tűnő számlákat küldött közvetlenül a könyvelési osztályaiknak. Mivel a beszállító már ellenőrzött és megbízható volt, a kifizetéseket gondolkodás nélkül jóváhagyták. Két év alatt több mint 120 millió dollár került egyenesen a csaló bankszámláira.

Ubiquiti Networks ($46.7M)

2015-ben a hálózati megoldásairól ismert Ubiquiti is hasonló csalás áldozata lett. A támadó nem bajlódott hamis vállalkozás létrehozásával vagy külső beszállítók feltörésével. Ehelyett betört, felső vezetőknek adta ki magát, és sürgős átutalási kérelmeket küldött közvetlenül a belső pénzügyi osztálynak. Kizárólag a hamis vezető nevéhez kapcsolódó tekintélyre támaszkodva az alkalmazott követte az utasításokat, és külföldre utalta a pénzt. Mire bárki megállt volna ellenőrizni a dolgot, 46,7 millió dollárt már elküldtek.

Az üzleti e-mailes visszaéléses támadások típusai

Nem minden üzleti e-mailes visszaélés ugyanúgy néz ki. A cél persze mindig az, hogy minél több pénzt csaljanak ki az emberektől, de a módszer nagyon eltérő lehet.

CEO-csalás (vezetői megszemélyesítés)

Ez a BEC legismertebb formája. A támadó egy felső vezetőnek, általában vezérigazgatónak vagy pénzügyi igazgatónak adja ki magát, és nyomást gyakorol valakire a pénzügyön, hogy utaljon pénzt. Azért működik, mert a hatalmi dinamika erre épül. Ha a főnök akar valamit, a legtöbben nem állnak meg megkérdezni, hogy miért. Ha ezt még egy hihető háttértörténettel is kombinálják, az elég lehet ahhoz, hogy valaki gondolkodás nélkül cselekedjen.

Beszállítói e-mailes visszaélés

A támadók a vállalaton kívüli kapcsolatokat veszik célba ahelyett, hogy cégen belüli személynek adnák ki magukat. Megbízható beszállítókat és partnereket céloznak meg, becsúsznak a meglévő e-mailes beszélgetésekbe, és a valódi fizetési adatokat a sajátjukra cserélik. Az áldozat oldaláról ez úgy néz ki, mint egy szokásos számlafrissítés egy olyan beszállítótól, akivel évek óta együtt dolgoznak.

Fiókátvétel

Ez a legveszélyesebb változat, mert nincs benne megtévesztő utánzás. A támadó a valódi fiókot használja. Az e-mail valódi címről érkezik, és a megfelelő hangnemet használja. Az üzenet teljesen normálisnak tűnik, mert technikailag az is.

Bérfizetés eltérítése

Ez nem a cég pénzét célozza. Ehelyett az alkalmazottakat veszi célba. A támadók HR-esnek vagy alkalmazottnak adják ki magukat, és bérszámfejtési adatfrissítést kérnek, csendben egy általuk irányított számlára terelve a fizetést. 

Az áldozat csak fizetésnapon jön rá, és mivel az összegek kisebbek, a kérés pedig normálisnak tűnik, ritkán vált ki csalási riasztást. Ez a BEC lassabb változata, de ha elég sok alkalmazottat érint, gyorsan összeadódik.

BEC kontra phishing – Mi a különbség?

A phishing e-mailek már régóta léteznek, és a legtöbben tudják, hogyan néz ki egy ilyen. Ez az, amelyik azt mondja, hogy nyertél egy díjat, vagy hogy egy nigériai hercegnek szüksége van a segítségedre. Tömegesen küldik őket, és a puszta mennyiségre építenek, hogy valakit felkészületlenül érjenek.

Míg a phishing egy háló, a BEC egy mesterlövész. A támadók heteket töltenek egy vállalat, néha egy konkrét személy kutatásával. Mire az e-mail megérkezik, úgy néz ki, mint egy kedd reggeli üzenet valakitől, akit ismersz.

A phishing általában a bejelentkezési adataidra hajt, de a BEC ezt a lépést teljesen kihagyja, és egyből a pénzre vagy az adatokra megy.

Hogyan ismerhető fel egy üzleti e-mailes visszaéléses támadás?

A BEC-támadásokat úgy tervezik, hogy normálisnak tűnjenek. De ha tudod, mit kell figyelni, a jelek ott vannak.

• A sürgetés— Egy e-mail, amely gyors pénzmozgatásra sürget, anélkül hogy lenne időd megállni és ellenőrizni.

• A hirtelen változás — Egy beszállító vagy kolléga váratlanul, minden előzmény nélkül frissítette a fizetési adatait.

• A majdnem helyes cím — A feladó e-mail-címe csak egy karakterrel tér el a valóditól.

• A kissé furcsa hangnem— Valami nem stimmel, túl hivatalos, túl laza vagy furcsán titkolózó.

• A semmiből jött kérés — Arra kérnek, hogy tegyél meg valamit, ami normál esetben más csatornán keresztül történne.
  

Hogyan előzhető meg egy üzleti e-mailes visszaéléses támadás?

Ha tudod, hogyan működnek ezek a támadások, már félig nyert ügyed van. A másik fele annak biztosítása, hogy a vállalkozásod ne legyen könnyű célpont.

Vedd fel a telefont

Ha egy e-mail arra kér, hogy utalj pénzt vagy frissítsd a fizetési adatokat, ne válaszolj rá. Hívd fel közvetlenül az illetőt egy olyan számon, amely már megvan neked, ne azon, ami az e-mailben szerepel. Harminc másodpercet vesz igénybe, és ez a leghatékonyabb dolog, amit tehetsz.

Kapcsold be a kétfaktoros hitelesítést

Ha egy támadó megszerzi valakinek a bejelentkezési adatait, a 2FA megakadályozhatja a teljes postafiók átvételét. Nem állít meg mindent, de jelentősen megnehezíti a fiók kompromittálását.

Tanítsd meg a csapatodnak, hogyan néz ki a helyes működés

A rendszeres képzés arról, hogy mi a BEC, hogyan működik, és melyek a figyelmeztető jelek, az alkalmazottaidat a védelem egyik vonalává teheti.

Hagyd, hogy az eszközeid is elvégezzék a nehéz munka egy részét

A levélszemétszűrők és a doménhitelesítési eszközök, mint például a SPF, DKIM és DMARC, kiszűrhetik a BEC-kísérleteket, mielőtt azok elérnék a csapatodat. Az AI-alapú észlelés még tovább megy. Megtanulja, hogyan néz ki a normál e-mailes viselkedés a szervezeteden belül, és megjelöl minden gyanús dolgot.