Czym jest business email compromise (BEC)?

Business email compromise to cyberatak, w którym przestępcy podszywają się pod kogoś, komu ufasz, aby skłonić cię do wysłania pieniędzy lub przekazania wrażliwych danych. Atakujący spędzają tygodnie, ucząc się, jak komunikuje się firma, kto ma uprawnienia decyzyjne i kiedy uderzyć. Zanim e-mail trafi do skrzynki, wygląda jak zwykła wiadomość od kogoś, kogo znasz.

Jak działa atak BEC?

Te ataki mają sprawdzony schemat działania, a oszuści podążają za nim za każdym razem.

Krok 1 – Znajdź cel

Cały sens ataku business email compromise polega na tym, że musi być przekonujący. Na szczęście dla atakujących Internet to kopalnia informacji o potencjalnych celach. Szybkie spojrzenie na twój profil w mediach społecznościowych może ujawnić twoją pracę, bliskich znajomych, a nawet ton twojej wypowiedzi. Połącz to z komunikatami prasowymi o przyszłych ruchach twojej firmy i biogramami ze stron firmowych, a zaczyna to wyglądać wiarygodnie.

Atakujący mogą zebrać wszystkie te informacje i w ciągu kilku sekund stworzyć e-mail, który wygląda i brzmi jak prawdziwy.

Krok 2 – Dostań się do skrzynki odbiorczej

Aby treść e-maila wydawała się prawdziwa, atakujący muszą opakować ją w błyszczącą, wiarygodną formę. Jeśli adres e-mail nie wygląda na pochodzący z zaufanego źródła, całe oszustwo spali na panewce.

Atakujący mogą podszyć się pod domenę, rejestrując nazwę taką jak acme-corp.com zamiast acmecorp.com. Albo, jeśli są wystarczająco sprytni, włamać się do prawdziwej skrzynki odbiorczej, co sprawia, że odróżnienie wiadomości od autentycznej staje się niemal niemożliwe.

W końcu jeśli coś wygląda jak kaczka i kwacze jak kaczka, większość uzna, że to kaczka.

Krok 3 – Budowanie zaufania

W przypadku tych ataków cierpliwość to podstawa. Atakujący mogą ukrywać się w zhakowanej skrzynce odbiorczej przez tygodnie, czytając wątki e-maili i poznając style komunikacji. Gdy wiadomość w końcu nadejdzie, wtapia się w poprzednie e-maile, naśladując ton i przebieg rozmowy.

Krok 4 – Przedstaw prośbę

Gdy atakujący wiedzą już o tobie wszystko — twój ton wypowiedzi, imiona i stanowiska twoich współpracowników oraz to, co dzieje się w twojej firmie — i uda im się skutecznie wkraść do twojej poczty e-mail, wysyłają prośbę.

Zwykle chodzi o coś, czego nie da się łatwo cofnąć. Może to oznaczać wysłanie pieniędzy na konto bankowe lub udostępnienie prywatnych informacji. Kluczowe jest to, że musi to być nieodwracalne. 

Gdy cel zorientuje się, że coś jest nie tak, atakujący potrzebuje, by szkoda była już wyrządzona. Jeśli jest wyjątkowo przebiegły, może nawet wysłać wiadomość w okresie świątecznym, gdy czujność wszystkich jest obniżona i szanse powodzenia są większe.

Krok 5 – Zniknij bez śladu

Po wysłaniu środków są one szybko przenoszone przez serię kont pośredniczących. Zwykle znajdują się one za granicą, co sprawia, że ślad pieniędzy jest bardzo trudny do prześledzenia nawet dla organów ścigania.

Przykład business email compromise

Business email compromise to finałowy boss cyfrowych ataków. Zwykle dotyczy dużych firm i zawrotnych sum pieniędzy.

Toyota Boshoku ($37M)

W 2019 roku jeden z głównych dostawców Toyoty stracił dziesiątki milionów w ramach jednego przelewu. Atakujący włamał się do systemu e-mail Toyota Boshoku. Czytał wiadomości i uczył się, jak komunikuje się firma. Gdy w rozmowie pojawił się temat dużego przelewu pieniędzy, poprosił osobę w firmie mającą uprawnienia do przesyłania środków o zaktualizowanie danych konta bankowego dla tego przelewu. Wyglądało to wiarygodnie i pieniądze zostały wysłane. 

I tak po prostu, 37 milionów dolarów zniknęło.

Google and Facebook ($120M)

W latach 2013–2015 Google i Facebook padły ofiarą klasycznego oszustwa z fałszywym dostawcą. Przestępca zarejestrował fałszywą firmę, używając dokładnie tej samej nazwy co legalny producent sprzętu, z którego korzystały obie firmy. Fałszował umowy i wysyłał wyglądające rutynowo faktury bezpośrednio do ich działów księgowości. Ponieważ dostawca był już zweryfikowany i darzony zaufaniem, płatności zostały zatwierdzone bez chwili zastanowienia. W ciągu dwóch lat ponad 120 milionów dolarów trafiło prosto na konta bankowe oszusta.

Ubiquiti Networks ($46.7M)

W 2015 roku gigant sieciowy Ubiquiti padł ofiarą podobnego oszustwa. Atakujący nie zawracał sobie głowy zakładaniem fałszywej firmy ani hakowaniem zewnętrznych dostawców. Zamiast tego włamał się, podszył pod najwyższych rangą menedżerów firmy i wysłał pilne prośby o przelew bezpośrednio do wewnętrznego działu finansowego. Opierając się wyłącznie na autorytecie nazwiska fałszywego dyrektora, pracownik wykonał polecenie i przelał środki za granicę. Zanim ktokolwiek zatrzymał się, by to sprawdzić, wysłano 46,7 miliona dolarów.

Rodzaje ataków business email compromise

Nie wszystkie przykłady business email compromise wyglądają tak samo. Oczywiście celem zawsze jest nakłonienie ludzi do przekazania jak największej ilości pieniędzy, ale podejście może być bardzo różne.

CEO Fraud (podszywanie się pod kadrę kierowniczą)

To najbardziej rozpoznawalna forma BEC. Atakujący podszywa się pod członka wyższej kadry kierowniczej, zwykle CEO lub CFO, i wywiera presję na kogoś z działu finansowego, by przelał pieniądze. Działa to ze względu na hierarchię władzy. Gdy szef czegoś chce, większość ludzi nie zatrzymuje się, by zapytać dlaczego. Jeśli połączy się to jeszcze z wiarygodną historią, wystarczy to, by skłonić kogoś do działania bez zastanowienia.

Przejęcie e-maila dostawcy

Atakujący celują w relacje poza firmą, zamiast udawać kogoś z jej wnętrza. Atakują zaufanych dostawców i sprzedawców, wślizgując się do istniejących rozmów e-mailowych i podmieniając prawdziwe dane płatności na własne. Z perspektywy ofiary wygląda to jak rutynowa aktualizacja faktury od dostawcy, z którym współpracuje od lat.

Przejęcie konta

To najniebezpieczniejszy wariant, ponieważ nie ma tu żadnego spoofingu. Atakujący używa prawdziwego konta. E-mail przychodzi z prawdziwego adresu i ma odpowiedni ton. Wiadomość wygląda całkowicie normalnie, bo technicznie rzecz biorąc taka właśnie jest.

Przekierowanie wypłaty

Ten wariant nie celuje w pieniądze firmy. Zamiast tego celuje w pracowników. Atakujący podszywają się pod dział HR lub pracownika i proszą o aktualizację danych płacowych, po cichu przekierowując wynagrodzenie na konto, które kontrolują. 

Ofiara dowiaduje się o tym dopiero w dniu wypłaty, a ponieważ kwoty są mniejsze, a prośba wygląda normalnie, rzadko uruchamia to alert o oszustwie. To wolniejsza wersja BEC, ale jeśli trafi wystarczająco wielu pracowników, straty szybko rosną.

BEC a phishing – jaka jest różnica?

E-maile phishingowe istnieją od dawna, a większość ludzi wie, jak wyglądają. To te wiadomości, które mówią ci, że wygrałeś nagrodę albo że nigeryjski książę potrzebuje twojej pomocy. Są wysyłane masowo i opierają się na samej skali, by złapać kogoś z zaskoczenia.

Jeśli phishing jest siecią, BEC jest snajperem. Atakujący spędzają tygodnie na badaniu jednej firmy, a czasem jednej konkretnej osoby. Zanim e-mail trafi do skrzynki, wygląda jak wtorkowa poranna wiadomość od kogoś, kogo znasz.

Phishing zwykle poluje na twoje dane logowania, ale BEC całkowicie pomija ten etap i od razu celuje w pieniądze lub dane.

Jak rozpoznać atak business email compromise

Ataki BEC są zaprojektowane tak, by wyglądały normalnie. Ale jeśli wiesz, na co zwracać uwagę, oznaki są widoczne.

• Pośpiech— E-mail naciskający na szybkie przelanie pieniędzy, bez czasu na zatrzymanie się i weryfikację.

• Nagła zmiana — Dostawca lub współpracownik nagle, znikąd, zaktualizował swoje dane płatności.

• Adres prawie poprawny — Adres e-mail nadawcy różni się od prawdziwego tylko jednym znakiem.

• Ton, który jest po prostu nie taki— Coś wydaje się nie tak: zbyt formalne, zbyt swobodne albo dziwnie tajemnicze.

• Prośba znikąd — Jesteś proszony o zrobienie czegoś, co normalnie odbywałoby się innym kanałem.
  

Jak zapobiec atakowi business email compromise

Wiedza o tym, jak działają te ataki, to połowa sukcesu. Druga połowa to upewnienie się, że twoja firma nie jest łatwym celem.

Podnieś słuchawkę

Jeśli e-mail prosi cię o przelanie pieniędzy lub zaktualizowanie danych płatności, nie odpowiadaj na niego. Zadzwoń bezpośrednio do tej osoby, używając numeru, który już masz, a nie tego z e-maila. To zajmuje trzydzieści sekund i jest najskuteczniejszą rzeczą, jaką możesz zrobić.

Włącz uwierzytelnianie dwuskładnikowe

Jeśli atakujący zdobędzie czyjeś dane logowania, 2FA może zablokować pełne przejęcie skrzynki odbiorczej. Nie zatrzyma wszystkiego, ale znacznie utrudnia przejęcie konta.

Pokaż swojemu zespołowi, jak wygląda właściwe działanie

Regularne szkolenia na temat tego, czym jest BEC, jak działa i jak wyglądają sygnały ostrzegawcze, mogą zamienić twoich pracowników w linię obrony.

Pozwól swoim narzędziom wykonać część ciężkiej pracy

Filtry spamu i narzędzia do uwierzytelniania domen, takie jak SPF, DKIM, and DMARC, mogą odfiltrować próby BEC, zanim dotrą do twojego zespołu. Wykrywanie oparte na AI idzie o krok dalej. Uczy się, jak wygląda normalne zachowanie e-mailowe w twojej organizacji, i oznacza wszystko, co podejrzane.