Τι είναι το business email compromise (BEC);

Κάθε χρόνο, οι εγκληματίες αποσπούν δισεκατομμύρια. Όχι εισβάλλοντας σε πολυτελείς γκαλερί τέχνης ή τραπεζικά θησαυροφυλάκια, αλλά στέλνοντας το σωστό email στο σωστό άτομο τη σωστή στιγμή. Έτσι το κάνουν.

Σε αυτό το άρθρο, θα μάθετε:

• Τι είναι στην πραγματικότητα το business email compromise

• Πώς πραγματοποιούνται αυτές οι επιθέσεις, βήμα προς βήμα

• Οι πιο συνηθισμένοι τύποι επιθέσεων BEC

• Ένα πραγματικό παράδειγμα επίθεσης 37 εκατομμυρίων $

• Πώς να προστατεύσετε την επιχείρησή σας πριν γίνει στόχος

Τι είναι το business email compromise στην κυβερνοασφάλεια;

Το business email compromise είναι μια κυβερνοεπίθεση στην οποία οι εγκληματίες υποδύονται κάποιον που εμπιστεύεστε για να σας ξεγελάσουν ώστε να στείλετε χρήματα ή να παραδώσετε ευαίσθητα δεδομένα. Αυτό που το κάνει επικίνδυνο είναι η υπομονή και ο σχεδιασμός. Οι επιτιθέμενοι περνούν εβδομάδες μαθαίνοντας πώς επικοινωνεί μια εταιρεία, ποιος έχει την εξουσία και πότε να χτυπήσουν. Μέχρι να φτάσει το email, μοιάζει με ένα φυσιολογικό email από κάποιον που γνωρίζετε.

Πώς λειτουργεί μια επίθεση business email compromise;

Υπάρχει ένα δοκιμασμένο και αξιόπιστο εγχειρίδιο για αυτές τις επιθέσεις, και οι απατεώνες το ακολουθούν κάθε φορά.

Βήμα 1 – Εντοπίστε τον στόχο

Ολόκληρη η ουσία πίσω από μια επίθεση business email compromise είναι ότι πρέπει να είναι πειστική. Ευτυχώς για τους επιτιθέμενους, το Internet είναι χρυσωρυχείο πληροφοριών για πιθανούς στόχους. Μια γρήγορη ματιά στο προφίλ σας στα social media μπορεί να αποκαλύψει τη δουλειά σας, στενούς φίλους, ακόμη και τον τόνο της φωνής σας. Συνδυάστε το αυτό με δελτία Τύπου για τις μελλοντικές κινήσεις της εταιρείας σας και βιογραφικά από εταιρικούς ιστότοπους, και αρχίζει να φαίνεται αξιόπιστο.

Οι επιτιθέμενοι μπορούν να συλλέξουν όλες αυτές τις πληροφορίες και, μέσα σε δευτερόλεπτα, να δημιουργήσουν ένα email που μοιάζει και ακούγεται σαν το πραγματικό.

Βήμα 2 – Μπείτε στα εισερχόμενα

Για να φαίνεται αληθινό το περιεχόμενο του email, οι επιτιθέμενοι πρέπει να το τυλίξουν σε ένα γυαλιστερό, πειστικό πακέτο. Αν η διεύθυνση email δεν φαίνεται να προέρχεται από αξιόπιστη πηγή, ολόκληρη η απάτη θα αποτύχει.

Οι επιτιθέμενοι θα μπορούσαν να κάνουν spoof το domain καταχωρώντας ένα όνομα όπως acme-corp.com αντί για acmecorp.com. Ή, αν είναι αρκετά έξυπνοι, να παραβιάσουν τα πραγματικά εισερχόμενα, καθιστώντας σχεδόν αδύνατο να ξεχωρίσει κανείς το μήνυμα από ένα γνήσιο.

Άλλωστε, αν μοιάζει με πάπια και κάνει σαν πάπια, οι περισσότεροι θα νομίσουν ότι είναι πάπια.

Βήμα 3 – Χτίστε εμπιστοσύνη

Με αυτές τις επιθέσεις, η υπομονή είναι το παν. Οι επιτιθέμενοι μπορούν να κρύβονται σε ένα παραβιασμένο inbox για εβδομάδες, διαβάζοντας νήματα email και μαθαίνοντας τα στυλ επικοινωνίας. Όταν τελικά φτάσει το email, ενσωματώνεται στα προηγούμενα email, αντικατοπτρίζοντας τον τόνο και τη ροή της συζήτησης.

Βήμα 4 – Κάντε το αίτημα

Μόλις οι επιτιθέμενοι σας μάθουν απ' έξω κι ανακατωτά — τον τόνο της φωνής σας, τα ονόματα και τους τίτλους των συναδέλφων σας, και τι συμβαίνει στην εταιρεία σας — και καταφέρουν να εισχωρήσουν στο email σας, το αίτημα αποστέλλεται.

Συνήθως πρόκειται για κάτι που δεν μπορεί εύκολα να αναιρεθεί. Μπορεί να περιλαμβάνει αποστολή χρημάτων σε τραπεζικό λογαριασμό ή κοινοποίηση ιδιωτικών πληροφοριών. Το κλειδί είναι ότι πρέπει να είναι μη αναστρέψιμο. 

Μόλις ο στόχος συνειδητοποιήσει ότι κάτι δεν πάει καλά, ο επιτιθέμενος χρειάζεται η ζημιά να έχει ήδη γίνει. Αν είναι ιδιαίτερα ύπουλοι, μπορεί ακόμη και να το στείλουν κατά τη διάρκεια εορταστικής περιόδου, όταν όλοι είναι λιγότερο προσεκτικοί και υπάρχει μεγαλύτερη πιθανότητα επιτυχίας.

Βήμα 5 – Εξαφανιστείτε χωρίς ίχνος

Αφού σταλούν τα χρήματα, μεταφέρονται γρήγορα μέσω μιας σειράς ενδιάμεσων λογαριασμών. Αυτοί συνήθως βρίσκονται στο εξωτερικό, κάνοντας τη διαδρομή του χρήματος πολύ δύσκολο να εντοπιστεί ακόμη και από τις αρχές επιβολής του νόμου.

Παράδειγμα business email compromise

Το business email compromise είναι το τελικό αφεντικό των ψηφιακών επιθέσεων. Συνήθως περιλαμβάνει μεγάλες εταιρείες και αστρονομικά χρηματικά ποσά. 

Το 2019, ένας από τους βασικούς προμηθευτές της Toyota έχασε δεκάδες εκατομμύρια σε μία μόνο μεταφορά. Ο επιτιθέμενος παραβίασε το σύστημα email της Toyota Boshoku. Διάβασε μηνύματα και έμαθε πώς επικοινωνούσε η εταιρεία. Όταν προέκυψε στη συζήτηση μια μεγάλη μεταφορά χρημάτων, ζήτησε από κάποιον στην εταιρεία με την εξουσία να μετακινεί χρήματα να ενημερώσει τα στοιχεία του τραπεζικού λογαριασμού για τη μεταφορά. Έμοιαζε νόμιμο και τα χρήματα στάλθηκαν.

Έτσι απλά, 37 εκατομμύρια $, εξαφανίστηκαν.

Τύποι επιθέσεων business email compromise

Δεν μοιάζουν όλα τα παραδείγματα business email compromise ίδια. Φυσικά, ο στόχος είναι πάντα να ξεγελάσουν τους ανθρώπους ώστε να παραδώσουν όσο το δυνατόν περισσότερα χρήματα, αλλά η προσέγγιση μπορεί να είναι πολύ διαφορετική.

CEO Fraud (Πλαστοπροσωπία στελέχους)

Αυτή είναι η πιο αναγνωρίσιμη μορφή BEC. Ένας επιτιθέμενος υποδύεται ένα ανώτερο στέλεχος, συνήθως έναν CEO ή CFO, και πιέζει κάποιον στο οικονομικό τμήμα να μετακινήσει χρήματα. Λειτουργεί λόγω της δυναμικής εξουσίας. Όταν το αφεντικό θέλει κάτι, οι περισσότεροι άνθρωποι δεν σταματούν να ρωτήσουν γιατί. Αν αυτό συνδυαστεί με ένα πειστικό υπόβαθρο, αρκεί για να κάνει κάποιον να ενεργήσει χωρίς δεύτερη σκέψη.

Vendor email compromise

Οι επιτιθέμενοι στοχεύουν σχέσεις εκτός της εταιρείας αντί να προσποιούνται ότι είναι κάποιος μέσα σε αυτή. Στοχεύουν έμπιστους προμηθευτές και συνεργάτες, παρεισφρέουν σε υπάρχουσες συνομιλίες email και αντικαθιστούν τα πραγματικά στοιχεία πληρωμής με τα δικά τους. Από την πλευρά του θύματος, μοιάζει με μια συνηθισμένη ενημέρωση τιμολογίου από έναν προμηθευτή με τον οποίο συνεργάζονται εδώ και χρόνια.

Κατάληψη λογαριασμού

Αυτή είναι η πιο επικίνδυνη παραλλαγή επειδή δεν περιλαμβάνει spoofing. Ο επιτιθέμενος χρησιμοποιεί τον πραγματικό λογαριασμό. Το email προέρχεται από πραγματική διεύθυνση και χρησιμοποιεί τον σωστό τόνο. Το μήνυμα φαίνεται απολύτως φυσιολογικό, επειδή τεχνικά είναι.

Εκτροπή μισθοδοσίας

Αυτό δεν στοχεύει τα χρήματα της εταιρείας. Αντίθετα, στοχεύει τους εργαζομένους. Οι επιτιθέμενοι προσποιούνται ότι είναι από το HR ή ότι είναι εργαζόμενος και ζητούν ενημέρωση μισθοδοσίας, ανακατευθύνοντας αθόρυβα έναν μισθό σε λογαριασμό που ελέγχουν. 

Το θύμα δεν το ανακαλύπτει μέχρι την ημέρα πληρωμής και, επειδή τα ποσά είναι μικρότερα και το αίτημα φαίνεται φυσιολογικό, σπάνια ενεργοποιεί ειδοποίηση απάτης. Είναι μια πιο αργή εκδοχή του BEC, αλλά αν χτυπήσει αρκετούς εργαζομένους, το ποσό αυξάνεται γρήγορα.

BEC vs Phishing – Ποια είναι η διαφορά;

Τα phishing emails υπάρχουν εδώ και πολύ καιρό, και οι περισσότεροι άνθρωποι ξέρουν πώς μοιάζει ένα τέτοιο email. Είναι αυτό που σας λέει ότι κερδίσατε ένα βραβείο ή ότι ένας Νιγηριανός πρίγκιπας χρειάζεται τη βοήθειά σας. Στέλνονται μαζικά και βασίζονται στον τεράστιο όγκο για να πιάσουν κάποιον απροετοίμαστο.

Εκεί που το phishing είναι δίχτυ, το BEC είναι ελεύθερος σκοπευτής. Οι επιτιθέμενοι περνούν εβδομάδες ερευνώντας μία εταιρεία, μερικές φορές ένα συγκεκριμένο άτομο. Μέχρι να φτάσει το email, μοιάζει με μήνυμα Τρίτης πρωί από κάποιον που γνωρίζετε.

Το phishing συνήθως στοχεύει στα διαπιστευτήρια σύνδεσής σας, αλλά το BEC παραλείπει εντελώς αυτό το βήμα και πηγαίνει κατευθείαν στα χρήματα ή στα δεδομένα.

Πώς να εντοπίσετε μια επίθεση business email compromise

Οι επιθέσεις BEC έχουν σχεδιαστεί ώστε να φαίνονται φυσιολογικές. Αλλά αν ξέρετε τι να προσέξετε, τα σημάδια υπάρχουν.

• Η βιασύνη— Ένα email που σας πιέζει να μετακινήσετε χρήματα γρήγορα, χωρίς περιθώριο να σταματήσετε και να επαληθεύσετε.

• Η ξαφνική αλλαγή — Ένας προμηθευτής ή συνάδελφος έχει ξαφνικά ενημερώσει τα στοιχεία πληρωμής του από το πουθενά.

• Η σχεδόν σωστή διεύθυνση — Το email του αποστολέα απέχει μόνο έναν χαρακτήρα από το πραγματικό.

• Ο τόνος που είναι λίγο λάθος— Κάτι φαίνεται περίεργο, υπερβολικά επίσημο, υπερβολικά χαλαρό ή παράξενα μυστικοπαθές.

• Το αίτημα από το πουθενά — Σας ζητείται να κάνετε κάτι που κανονικά θα περνούσε από διαφορετικό κανάλι.

Πώς να αποτρέψετε μια επίθεση business email compromise

Το να γνωρίζετε πώς λειτουργούν αυτές οι επιθέσεις είναι η μισή μάχη. Η άλλη μισή είναι να βεβαιωθείτε ότι η επιχείρησή σας δεν είναι εύκολος στόχος.

Σηκώστε το τηλέφωνο

Αν ένα email σας ζητά να μεταφέρετε χρήματα ή να ενημερώσετε στοιχεία πληρωμής, μην απαντήσετε σε αυτό. Καλέστε το άτομο απευθείας χρησιμοποιώντας έναν αριθμό που έχετε ήδη, όχι αυτόν από το email. Χρειάζονται τριάντα δευτερόλεπτα και είναι το πιο αποτελεσματικό πράγμα που μπορείτε να κάνετε.

Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων

Αν ένας επιτιθέμενος αποκτήσει τα διαπιστευτήρια σύνδεσης κάποιου, το 2FA μπορεί να αποτρέψει την πλήρη κατάληψη των εισερχομένων. Δεν θα σταματήσει τα πάντα, αλλά κάνει τον συμβιβασμό λογαριασμού σημαντικά δυσκολότερο.

Διδάξτε στην ομάδα σας πώς μοιάζει το σωστό

Η τακτική εκπαίδευση σχετικά με το τι είναι το BEC, πώς λειτουργεί και πώς μοιάζουν τα προειδοποιητικά σημάδια μπορεί να μετατρέψει τους εργαζομένους σας σε γραμμή άμυνας.

Αφήστε τα εργαλεία σας να κάνουν μέρος της βαριάς δουλειάς

Τα φίλτρα spam και τα εργαλεία ελέγχου ταυτότητας domain όπως SPF, DKIM, and DMARC μπορούν να φιλτράρουν τις απόπειρες BEC πριν φτάσουν στην ομάδα σας. Η ανίχνευση με βάση το AI πηγαίνει ένα βήμα παραπέρα. Μαθαίνει πώς μοιάζει η φυσιολογική συμπεριφορά email μέσα στον οργανισμό σας και επισημαίνει οτιδήποτε ύποπτο.