Какво е компрометиране на бизнес имейл (BEC)?

Компрометирането на бизнес имейл е кибератака, при която престъпници се представят за човек, на когото имате доверие, за да ви подмамят да изпратите пари или да предадете чувствителни данни. Нападателите прекарват седмици в изучаване на това как една компания комуникира, кой има властта и кога да нанесат удар. Когато имейлът най-накрая пристигне, той изглежда като нормален имейл от човек, когото познавате.

Как работи BEC атака?

За тези атаки има изпитан и надежден сценарий и измамниците го следват всеки път.

Стъпка 1 – Намерете целта

Целият смисъл на атаката с компрометиране на бизнес имейл е, че тя трябва да бъде убедителна. За щастие на нападателите, интернет е златна мина от информация за потенциални цели. Един бърз поглед към профила ви в социалните мрежи може да разкрие работата ви, близките ви приятели и дори тона ви на говорене. Съчетайте това с прессъобщения за бъдещите ходове на компанията ви и биографии от фирмени уебсайтове и всичко започва да изглежда достоверно.

Нападателите могат да извлекат цялата тази информация и в рамките на секунди да създадат имейл, който изглежда и звучи като истинския.

Стъпка 2 – Влезте във входящата поща

За да изглежда съдържанието на имейла истинско, нападателите трябва да го опаковат в лъскав, правдоподобен пакет. Ако имейл адресът не изглежда като от доверен източник, цялата измама ще се провали.

Нападателите могат да spoof-нат домейна, като регистрират име като acme-corp.com вместо acmecorp.com. Или, ако са достатъчно умни, да хакнат истинската входяща поща, което прави почти невъзможно разграничаването от истинско съобщение.

В крайна сметка, ако изглежда като патица и кряка като патица, повечето хора ще решат, че е патица.

Стъпка 3 – Изградете доверие

При тези атаки търпението е ключово. Нападателите могат да се крият в компрометирана входяща поща с седмици, като четат имейл нишки и изучават стиловете на комуникация. Когато имейлът най-накрая пристигне, той се вписва сред предишните имейли, като отразява тона и хода на разговора.

Стъпка 4 – Направете искането

След като нападателите ви опознаят до най-малкия детайл — тона ви на говорене, имената и длъжностите на колегите ви и какво се случва във вашата компания — и успешно са си проправили път до вашия имейл, искането се изпраща.

Обикновено става дума за нещо, което не може лесно да бъде отменено. Може да включва изпращане на пари към банкова сметка или споделяне на лична информация. Ключовото е, че трябва да е необратимо. 

След като целта осъзнае, че нещо не е наред, нападателят трябва щетата вече да е нанесена. Ако са особено хитри, може дори да го изпратят по време на празничен период, когато бдителността на всички е понижена и шансът за успех е по-голям.

Стъпка 5 – Изчезнете без следа

След като средствата бъдат изпратени, те бързо се прехвърлят през поредица от междинни сметки. Те обикновено са базирани в чужбина, което прави проследяването на паричната следа много трудно дори за правоохранителните органи.

Пример за компрометиране на бизнес имейл

Компрометирането на бизнес имейл е последният бос на дигиталните атаки. Обикновено включва големи компании и главозамайващи суми пари.

Toyota Boshoku ($37M)

През 2019 г. един от основните доставчици на Toyota загуби десетки милиони с един-единствен превод. Нападателят проникна в имейл системата на Toyota Boshoku. Те прочетоха съобщенията и научиха как компанията комуникира. Когато в разговор се появи голям паричен превод, те поискаха от човек в компанията с правомощия да премества пари да актуализира данните за банковата сметка за превода. Изглеждаше легитимно и парите бяха изпратени. 

Ето така, $37 милиона, изчезнаха.

Google and Facebook ($120M)

Между 2013 и 2015 г. Google and Facebook бяха ударени от върховната измама с фалшив доставчик. Престъпник регистрира фалшив бизнес, използвайки точното име на легитимен производител на хардуер, който и двете компании използваха. Той фалшифицира договори и изпращаше на пръв поглед рутинни фактури директно до техните счетоводни отдели. Тъй като доставчикът вече беше проверен и му се имаше доверие, плащанията бяха одобрени без второ замисляне. За две години повече от $120 милиона отидоха директно в банковите сметки на измамника.

Ubiquiti Networks ($46.7M)

През 2015 г. мрежовият гигант Ubiquiti стана жертва на подобна измама. Нападателят не си направи труда да създаде фалшив бизнес или да хакне доставчици трети страни. Вместо това те проникнаха, представиха се за висши ръководители на компанията и изпратиха спешни искания за превод директно до вътрешния финансов отдел. Разчитайки единствено на авторитета на името на фалшивия ръководител, служителят изпълни нарежданията и преведе средствата в чужбина. Докато някой се сети да провери повторно, $46.7 милиона вече бяха изпратени.

Видове атаки с компрометиране на бизнес имейл

Не всички примери за компрометиране на бизнес имейл изглеждат еднакво. Разбира се, целта винаги е да се подмамят хората да предадат възможно най-много пари, но подходът може да е много различен.

CEO измама (представяне за ръководител)

Това е най-разпознаваемата форма на BEC. Нападател се представя за висш ръководител, обикновено CEO или CFO, и притиска някого от финансите да премести пари. Работи заради динамиката на властта. Когато шефът иска нещо, повечето хора не спират, за да попитат защо. Ако това след това се комбинира с правдоподобна предистория, е достатъчно, за да накара някого да действа, без да се замисли.

Компрометиране на имейл на доставчик

Нападателите се насочват към взаимоотношения извън компанията, вместо да се преструват на човек отвътре. Те атакуват доверени доставчици и търговски партньори, промъкват се в съществуващи имейл разговори и подменят реалните данни за плащане със свои. От гледна точка на жертвата това изглежда като рутинна актуализация на фактура от доставчик, с когото работят от години.

Превземане на акаунт

Това е най-опасният вариант, защото не включва spoofing. Нападателят използва реалния акаунт. Имейлът идва от истински адрес и използва правилния тон. Съобщението изглежда напълно нормално, защото технически е такова.

Отклоняване на заплати

Този вариант не е насочен към парите на компанията. Вместо това е насочен към служителите. Нападателите се представят за HR или за служител и искат актуализация на ведомостта, като тихомълком пренасочват заплата към сметка, която контролират. 

Жертвата не разбира до деня на заплатата и тъй като сумите са по-малки, а искането изглежда нормално, това рядко задейства сигнал за измама. Това е по-бавна версия на BEC, но ако бъдат ударени достатъчно служители, сумата бързо нараства.

BEC срещу Phishing – Каква е разликата?

Phishing имейлите съществуват от дълго време, и повечето хора знаят как изглеждат. Това е онзи имейл, който ви казва, че сте спечелили награда или че нигерийски принц се нуждае от помощта ви. Те се изпращат масово и разчитат на огромен обем, за да хванат някого неподготвен.

Докато phishing е мрежа, BEC е снайперист. Нападателите прекарват седмици в проучване на една компания, а понякога и на един конкретен човек. Когато имейлът най-накрая пристигне, той изглежда като съобщение във вторник сутрин от човек, когото познавате.

Phishing обикновено цели вашите данни за вход, но BEC изцяло пропуска тази стъпка и се насочва директно към парите или данните.

Как да разпознаете атака с компрометиране на бизнес имейл

BEC атаките са създадени да изглеждат нормално. Но ако знаете какво да търсите, признаците са налице.

• Припряността— Имейл, който ви притиска бързо да преместите пари, без възможност да спрете и да проверите.

• Внезапната промяна — Доставчик или колега внезапно е актуализирал информацията си за плащане от нищото.

• Почти правилният адрес — Имейлът на подателя се различава само с един символ от истинския.

• Тонът, който просто не е съвсем правилен— Нещо не е наред, твърде официално, твърде небрежно или странно потайно.

• Искането от нищото — Искат от вас да направите нещо, което обикновено би минало по друг канал.
  

Как да предотвратите атака с компрометиране на бизнес имейл

Да знаете как работят тези атаки е половината от битката. Другата половина е да се уверите, че бизнесът ви не е лесна цел.

Вдигнете телефона

Ако имейл ви моли да прехвърлите пари или да актуализирате данни за плащане, не му отговаряйте. Обадете се директно на човека, използвайки номер, който вече имате, а не този от имейла. Отнема тридесет секунди и е най-ефективното нещо, което можете да направите.

Включете двуфакторно удостоверяване

Ако нападател се сдобие с данните за вход на някого, 2FA може да блокира пълно превземане на входящата поща. Това няма да спре всичко, но прави компрометирането на акаунт значително по-трудно.

Научете екипа си как изглежда добрата практика

Редовното обучение за това какво е BEC, как работи и как изглеждат предупредителните знаци може да превърне служителите ви в линия на защита.

Оставете инструментите си да поемат част от тежката работа

Филтрите за спам и инструментите за удостоверяване на домейни като SPF, DKIM, and DMARC могат да филтрират BEC опитите, преди да достигнат до екипа ви. Базираната на AI детекция отива една стъпка по-далеч. Тя научава как изглежда нормалното поведение при имейлите във вашата организация и маркира всичко подозрително.