Що таке компрометація корпоративної електронної пошти (BEC)?

Компрометація ділової електронної пошти — це кібератака, під час якої злочинці видають себе за когось, кому ви довіряєте, щоб обманом змусити вас надіслати гроші або передати конфіденційні дані. Зловмисники тижнями вивчають, як компанія спілкується, хто має повноваження та коли завдати удару. На той момент, коли лист потрапляє до вас, він виглядає як звичайний електронний лист від когось, кого ви знаєте.

Як працює атака BEC?

Для таких атак існує перевірений сценарій, і шахраї щоразу діють за ним.

Крок 1 — Знайдіть ціль

Уся суть атаки з компрометацією ділової електронної пошти в тому, що вона має бути переконливою. На щастя для зловмисників, Інтернет — це золота жила інформації про потенційні цілі. Швидкий погляд на ваш профіль у соцмережах може розкрити вашу роботу, близьких друзів і навіть ваш тон спілкування. Додайте до цього пресрелізи про майбутні кроки вашої компанії та біографії з корпоративних сайтів — і все починає виглядати правдоподібно.

Зловмисники можуть зібрати всю цю інформацію й за лічені секунди створити лист, який виглядає та звучить як справжній.

Крок 2 — Потрапте всередину поштової скриньки

Щоб вміст листа здавався справжнім, зловмисникам потрібно загорнути його в блискучу, правдоподібну оболонку. Якщо електронна адреса не виглядає як адреса з надійного джерела, уся афера провалиться.

Зловмисники можуть підробити домен, зареєструвавши назву на кшталт acme-corp.com замість acmecorp.com. Або, якщо вони достатньо вправні, зламати справжню поштову скриньку, через що відрізнити її від справжнього повідомлення буде майже неможливо.

Зрештою, якщо щось виглядає як качка і крякає як качка, більшість подумає, що це качка.

Крок 3 — Завоюйте довіру

У таких атаках терпіння — це головне. Зловмисники можуть тижнями ховатися у зламаній поштовій скриньці, читаючи ланцюжки листів і вивчаючи стиль спілкування. Коли лист нарешті надходить, він органічно вписується в попереднє листування, повторюючи тон і хід розмови.

Крок 4 — Висуньте вимогу

Щойно зловмисники дізнаються про вас усе — ваш тон спілкування, імена та посади ваших колег, а також те, що відбувається у вашій компанії, — і успішно проникнуть у вашу електронну пошту, запит буде надіслано.

Зазвичай це щось таке, що не можна легко скасувати. Це може бути переказ грошей на банківський рахунок або передача приватної інформації. Головне, щоб це було незворотним. 

Щойно ціль розуміє, що щось не так, зловмиснику потрібно, щоб шкоду вже було завдано. Якщо вони особливо хитрі, то можуть навіть надіслати листа у святковий період, коли всі менш пильні й шанси на успіх вищі.

Крок 5 — Зникніть без сліду

Після надсилання коштів їх швидко переводять через низку проміжних рахунків. Зазвичай вони розташовані за кордоном, через що відстежити рух грошей дуже складно навіть для правоохоронних органів.

Приклад компрометації ділової електронної пошти

Компрометація ділової електронної пошти — це фінальний бос цифрових атак. Зазвичай вона стосується великих компаній і захмарних сум грошей.

Toyota Boshoku ($37M)

У 2019 році один із головних постачальників Toyota втратив десятки мільйонів за один переказ. Зловмисник зламав поштову систему Toyota Boshoku. Він читав повідомлення та вивчав, як спілкується компанія. Коли в розмові з’явився великий грошовий переказ, він попросив когось у компанії, хто мав повноваження переміщувати кошти, оновити банківські реквізити для переказу. Це виглядало законно, і гроші було надіслано. 

І просто так — $37 мільйонів зникли.

Google and Facebook ($120M)

У період з 2013 по 2015 рік Google і Facebook стали жертвами наймасштабнішої афери з фальшивим постачальником. Злочинець зареєстрував фіктивний бізнес, використавши точну назву легітимного виробника обладнання, послугами якого користувалися обидві компанії. Він підробляв контракти та надсилав на вигляд звичайні рахунки-фактури безпосередньо до їхніх бухгалтерських відділів. Оскільки постачальник уже був перевірений і викликав довіру, платежі затверджувалися без зайвих роздумів. За два роки понад $120 мільйонів напряму потрапили на банківські рахунки шахрая.

Ubiquiti Networks ($46.7M)

У 2015 році мережевий гігант Ubiquiti став жертвою подібної афери. Зловмисник не став створювати фальшивий бізнес або зламувати сторонніх постачальників. Натомість він проник усередину, видав себе за топкерівників компанії та надіслав термінові запити на переказ безпосередньо до внутрішнього фінансового відділу. Покладаючись виключно на авторитет імені фальшивого керівника, працівник виконав вказівки та переказав кошти за кордон. Поки хтось зупинився, щоб усе перевірити, уже було надіслано $46.7 мільйона.

Типи атак із компрометацією ділової електронної пошти

Не всі приклади компрометації ділової електронної пошти виглядають однаково. Звісно, мета завжди одна — обманом змусити людей віддати якомога більше грошей, але підхід може дуже відрізнятися.

Шахрайство від імені CEO (видавання себе за керівника)

Це найвідоміша форма BEC. Зловмисник видає себе за старшого керівника, зазвичай CEO або CFO, і тисне на когось із фінансового відділу, щоб той переказав гроші. Це працює через владну динаміку. Коли бос чогось хоче, більшість людей не зупиняються, щоб запитати чому. Якщо це ще й поєднати з правдоподібною передісторією, цього достатньо, щоб змусити когось діяти, не замислюючись двічі.

Компрометація електронної пошти постачальника

Зловмисники націлюються на відносини поза межами компанії, а не вдають когось усередині неї. Вони атакують надійних постачальників і підрядників, вбудовуються в наявні листування та підміняють справжні платіжні реквізити своїми. З боку жертви це виглядає як звичайне оновлення рахунку від постачальника, з яким вона працює роками.

Захоплення облікового запису

Це найнебезпечніший варіант, тому що тут немає підміни. Зловмисник використовує справжній обліковий запис. Лист надходить із реальної адреси та має правильний тон. Повідомлення виглядає абсолютно звичайним, бо технічно таким і є.

Перенаправлення зарплати

Цей варіант не націлений на гроші компанії. Натомість він націлений на працівників. Зловмисники видають себе за HR або працівника й просять оновити платіжні дані для зарплати, непомітно перенаправляючи її на рахунок, який вони контролюють. 

Жертва дізнається про це лише в день виплати зарплати, а оскільки суми менші й запит виглядає звичайним, це рідко викликає сповіщення про шахрайство. Це повільніша версія BEC, але якщо вразити достатньо працівників, сума швидко зростає.

BEC проти фішингу — у чому різниця?

Фішингові листи існують уже давно, і більшість людей знає, як вони виглядають. Це той лист, у якому вам повідомляють, що ви виграли приз, або що нігерійському принцу потрібна ваша допомога. Їх надсилають масово й розраховують на кількість, щоб застати когось зненацька.

Якщо фішинг — це сітка, то BEC — це снайпер. Зловмисники тижнями досліджують одну компанію, а іноді й одну конкретну людину. На той момент, коли лист потрапляє до вас, він виглядає як ранкове повідомлення у вівторок від когось, кого ви знаєте.

Фішинг зазвичай полює на ваші облікові дані для входу, але BEC повністю пропускає цей етап і одразу націлюється на гроші або дані.

Як розпізнати атаку з компрометацією ділової електронної пошти

BEC-атаки створені так, щоб виглядати звичайно. Але якщо знати, на що звертати увагу, ознаки є.

• Поспіх— Лист, який підштовхує вас швидко переказати гроші, не залишаючи часу зупинитися й перевірити.

• Раптова зміна — Постачальник або колега раптово без жодної причини оновив свої платіжні дані.

• Майже правильна адреса — Електронна адреса відправника відрізняється від справжньої лише одним символом.

• Тон, у якому щось не так— Щось здається дивним: занадто офіційно, занадто невимушено або підозріло таємничо.

• Запит нізвідки — Вас просять зробити щось, що зазвичай проходить через інший канал.
  

Як запобігти атаці з компрометацією ділової електронної пошти

Знати, як працюють ці атаки, — це половина справи. Інша половина — переконатися, що ваш бізнес не є легкою мішенню.

Зателефонуйте

Якщо в листі вас просять переказати гроші або оновити платіжні реквізити, не відповідайте на нього. Зателефонуйте людині напряму, використовуючи номер, який у вас уже є, а не той, що вказаний у листі. Це займає тридцять секунд, і це найефективніше, що ви можете зробити.

Увімкніть двофакторну автентифікацію

Якщо зловмисник отримає чиїсь облікові дані для входу, 2FA може заблокувати повне захоплення поштової скриньки. Це не зупинить усе, але значно ускладнить компрометацію облікового запису.

Навчіть свою команду, як виглядає норма

Регулярне навчання про те, що таке BEC, як воно працює та як виглядають тривожні сигнали, може перетворити ваших працівників на лінію захисту.

Дозвольте своїм інструментам узяти частину роботи на себе

Спам-фільтри та інструменти автентифікації домену, як-от SPF, DKIM, and DMARC, можуть відфільтровувати спроби BEC ще до того, як вони дійдуть до вашої команди. Виявлення на основі AI йде ще далі. Воно вивчає, як виглядає нормальна поведінка електронної пошти у вашій організації, і позначає все підозріле.