Business email compromise (BEC) là gì?

Lừa đảo email doanh nghiệp là một cuộc tấn công mạng, trong đó tội phạm giả mạo một người mà bạn tin tưởng để lừa bạn gửi tiền hoặc giao nộp dữ liệu nhạy cảm. Kẻ tấn công dành nhiều tuần để tìm hiểu cách một công ty giao tiếp, ai là người có thẩm quyền và khi nào ra tay. Đến khi email xuất hiện, nó trông như một email bình thường từ người mà bạn quen biết.

Một cuộc tấn công BEC hoạt động như thế nào?

Có một kịch bản quen thuộc và đã được kiểm chứng cho những cuộc tấn công này, và kẻ lừa đảo lần nào cũng làm theo.

Bước 1 – Tìm mục tiêu

Toàn bộ điểm mấu chốt của một cuộc tấn công lừa đảo email doanh nghiệp là nó phải đủ thuyết phục. May mắn cho kẻ tấn công, Internet là một mỏ vàng thông tin về các mục tiêu tiềm năng. Chỉ cần lướt nhanh hồ sơ mạng xã hội của bạn cũng có thể tiết lộ công việc, bạn bè thân thiết và thậm chí cả giọng điệu của bạn. Ghép những điều đó với các thông cáo báo chí về các bước đi sắp tới của công ty bạn và phần giới thiệu trên website công ty, mọi thứ bắt đầu trở nên đáng tin.

Kẻ tấn công có thể thu thập tất cả thông tin đó và chỉ trong vài giây tạo ra một email trông và nghe như thật.

Bước 2 – Xâm nhập vào hộp thư

Để nội dung email có vẻ chân thực, kẻ tấn công cần bọc nó trong một lớp vỏ hào nhoáng và đáng tin. Nếu địa chỉ email không có vẻ đến từ một nguồn đáng tin cậy, toàn bộ trò lừa đảo sẽ thất bại.

Kẻ tấn công có thể giả mạo tên miền bằng cách đăng ký một tên như acme-corp.com thay vì acmecorp.com. Hoặc, nếu chúng đủ tinh vi, xâm nhập vào hộp thư thật, khiến việc phân biệt với một tin nhắn chính hãng gần như là không thể.

Suy cho cùng, nếu nó trông như vịt và kêu như vịt, đa số mọi người sẽ nghĩ đó là vịt.

Bước 3 – Xây dựng lòng tin

Với những cuộc tấn công này, kiên nhẫn là yếu tố quyết định. Kẻ tấn công có thể ẩn mình trong một hộp thư bị xâm nhập suốt nhiều tuần, đọc các chuỗi email và tìm hiểu phong cách giao tiếp. Khi email cuối cùng xuất hiện, nó hòa lẫn với các email trước đó, bắt chước giọng điệu và mạch hội thoại.

Bước 4 – Đưa ra yêu cầu

Khi kẻ tấn công đã biết rõ về bạn — giọng điệu của bạn, tên và chức danh của đồng nghiệp, cũng như những gì đang diễn ra trong công ty bạn — và chúng đã thành công len lỏi vào email của bạn, yêu cầu sẽ được gửi đi.

Thường thì đó là việc không thể dễ dàng hoàn tác. Có thể là gửi tiền vào một tài khoản ngân hàng hoặc chia sẻ thông tin riêng tư. Điểm mấu chốt là việc đó phải không thể đảo ngược. 

Khi mục tiêu nhận ra có điều gì đó không ổn, kẻ tấn công cần bảo đảm thiệt hại đã xảy ra rồi. Nếu đặc biệt ranh mãnh, chúng thậm chí có thể gửi email vào dịp lễ hội khi mọi người mất cảnh giác hơn và khả năng thành công cao hơn.

Bước 5 – Biến mất không để lại dấu vết

Sau khi tiền được gửi đi, chúng sẽ nhanh chóng được chuyển qua một loạt tài khoản trung gian. Những tài khoản này thường ở nước ngoài, khiến dấu vết dòng tiền rất khó lần theo ngay cả với cơ quan thực thi pháp luật.

Ví dụ về lừa đảo email doanh nghiệp

Lừa đảo email doanh nghiệp là trùm cuối của các cuộc tấn công số. Nó thường liên quan đến các công ty lớn và những khoản tiền khổng lồ.

Toyota Boshoku ($37M)

Năm 2019, một trong những nhà cung cấp lớn của Toyota đã mất hàng chục triệu đô la chỉ trong một lần chuyển khoản. Kẻ tấn công đã đột nhập vào hệ thống email của Toyota Boshoku. Chúng đọc tin nhắn và tìm hiểu cách công ty giao tiếp. Khi một khoản chuyển tiền lớn được nhắc đến trong cuộc trao đổi, chúng yêu cầu một người trong công ty có thẩm quyền chuyển tiền cập nhật thông tin tài khoản ngân hàng cho giao dịch đó. Mọi thứ trông hoàn toàn hợp lệ, và tiền đã được gửi đi. 

Chỉ vậy thôi, 37 triệu đô la đã biến mất.

Google và Facebook ($120M)

Trong giai đoạn từ 2013 đến 2015, Google và Facebook đã trở thành nạn nhân của vụ lừa đảo nhà cung cấp giả mạo ở mức độ nghiêm trọng nhất. Một tội phạm đã đăng ký một doanh nghiệp giả với đúng tên của một nhà sản xuất phần cứng hợp pháp mà cả hai công ty đều sử dụng. Hắn làm giả hợp đồng và gửi các hóa đơn trông như thông lệ trực tiếp đến bộ phận kế toán của họ. Vì nhà cung cấp này đã được thẩm định và tin cậy từ trước, các khoản thanh toán được phê duyệt mà không cần suy nghĩ thêm. Trong hai năm, hơn 120 triệu đô la đã đi thẳng vào các tài khoản ngân hàng của kẻ lừa đảo.

Ubiquiti Networks ($46.7M)

Năm 2015, gã khổng lồ mạng Ubiquiti đã trở thành nạn nhân của một vụ lừa đảo tương tự. Kẻ tấn công không mất công lập doanh nghiệp giả hay xâm nhập các nhà cung cấp bên thứ ba. Thay vào đó, chúng đột nhập, giả mạo các lãnh đạo cấp cao của công ty và gửi các yêu cầu chuyển tiền khẩn cấp trực tiếp đến bộ phận tài chính nội bộ. Chỉ dựa vào uy quyền từ tên của vị giám đốc giả mạo, nhân viên đã làm theo chỉ thị và chuyển tiền ra nước ngoài. Đến khi có người dừng lại để kiểm tra lại, 46,7 triệu đô la đã được gửi đi.

Các loại tấn công lừa đảo email doanh nghiệp

Không phải mọi ví dụ về lừa đảo email doanh nghiệp đều giống nhau. Tất nhiên, mục tiêu luôn là lừa mọi người giao ra càng nhiều tiền càng tốt, nhưng cách tiếp cận có thể rất khác nhau.

Lừa đảo CEO (Giả mạo lãnh đạo)

Đây là hình thức BEC được biết đến nhiều nhất. Kẻ tấn công giả mạo một lãnh đạo cấp cao, thường là CEO hoặc CFO, và gây áp lực buộc ai đó trong bộ phận tài chính chuyển tiền. Nó hiệu quả vì yếu tố quyền lực. Khi sếp muốn điều gì đó, đa số mọi người sẽ không dừng lại để hỏi tại sao. Nếu điều này còn được kết hợp với một câu chuyện nền đáng tin, như vậy là đủ để khiến ai đó hành động mà không suy nghĩ kỹ.

Lừa đảo email nhà cung cấp

Kẻ tấn công nhắm vào các mối quan hệ bên ngoài công ty thay vì giả vờ là người trong nội bộ. Chúng nhắm vào các nhà cung cấp và đối tác đáng tin cậy, chen vào các cuộc trao đổi email đang diễn ra và thay thông tin thanh toán thật bằng thông tin của chúng. Từ phía nạn nhân, điều đó trông như một cập nhật hóa đơn thông thường từ một nhà cung cấp mà họ đã làm việc cùng nhiều năm.

Chiếm đoạt tài khoản

Đây là biến thể nguy hiểm nhất vì không có hành vi giả mạo nào liên quan. Kẻ tấn công đang sử dụng tài khoản thật. Email đến từ một địa chỉ thật và dùng đúng giọng điệu. Tin nhắn trông hoàn toàn bình thường, vì về mặt kỹ thuật thì đúng là như vậy.

Chuyển hướng lương

Kiểu này không nhắm vào tiền của công ty. Thay vào đó, nó nhắm vào nhân viên. Kẻ tấn công giả làm bộ phận nhân sự hoặc một nhân viên và yêu cầu cập nhật bảng lương, âm thầm chuyển hướng tiền lương vào một tài khoản do chúng kiểm soát. 

Nạn nhân chỉ phát hiện ra vào ngày lĩnh lương, và vì số tiền nhỏ hơn cũng như yêu cầu trông bình thường, nó hiếm khi kích hoạt cảnh báo gian lận. Đây là một phiên bản BEC chậm hơn, nhưng nếu nhắm trúng đủ nhiều nhân viên, số tiền sẽ tăng lên rất nhanh.

BEC so với Phishing – Khác nhau ở điểm nào?

Email phishing đã tồn tại từ rất lâu, và hầu hết mọi người đều biết nó trông như thế nào. Đó là kiểu email nói rằng bạn đã trúng thưởng, hoặc một hoàng tử Nigeria cần sự giúp đỡ của bạn. Chúng được gửi hàng loạt và dựa vào số lượng lớn để bắt trúng ai đó lúc mất cảnh giác.

Nếu phishing là một tấm lưới, thì BEC là một tay bắn tỉa. Kẻ tấn công dành nhiều tuần để nghiên cứu một công ty, đôi khi là một người cụ thể. Đến khi email xuất hiện, nó trông như một tin nhắn sáng thứ Ba từ người mà bạn quen biết.

Phishing thường nhắm đến thông tin đăng nhập của bạn, nhưng BEC bỏ qua hoàn toàn bước đó và đi thẳng đến tiền hoặc dữ liệu.

Cách nhận biết một cuộc tấn công lừa đảo email doanh nghiệp

Các cuộc tấn công BEC được thiết kế để trông bình thường. Nhưng nếu bạn biết cần chú ý điều gì, các dấu hiệu vẫn ở đó.

• Sự thúc ép— Một email thúc giục bạn chuyển tiền thật nhanh, không cho bạn cơ hội dừng lại và xác minh.

• Sự thay đổi đột ngột — Một nhà cung cấp hoặc đồng nghiệp đột nhiên cập nhật thông tin thanh toán mà không có báo trước.

• Địa chỉ gần đúng — Email của người gửi chỉ khác địa chỉ thật đúng một ký tự.

• Giọng điệu hơi sai sai— Có gì đó không ổn, quá trang trọng, quá suồng sã hoặc bí mật một cách kỳ lạ.

• Yêu cầu từ trên trời rơi xuống — Bạn được yêu cầu làm điều gì đó mà bình thường sẽ phải thông qua một kênh khác.
  

Cách ngăn chặn một cuộc tấn công lừa đảo email doanh nghiệp

Biết cách những cuộc tấn công này hoạt động đã là một nửa trận chiến. Nửa còn lại là bảo đảm doanh nghiệp của bạn không phải là mục tiêu dễ dàng.

Nhấc điện thoại lên

Nếu một email yêu cầu bạn chuyển tiền hoặc cập nhật thông tin thanh toán, đừng trả lời email đó. Hãy gọi trực tiếp cho người đó bằng số bạn đã có sẵn, không phải số trong email. Chỉ mất ba mươi giây, và đó là điều hiệu quả nhất mà bạn có thể làm.

Bật xác thực hai yếu tố

Nếu kẻ tấn công lấy được thông tin đăng nhập của ai đó, 2FA có thể ngăn chặn việc chiếm toàn bộ hộp thư. Nó sẽ không ngăn được mọi thứ, nhưng sẽ khiến việc xâm phạm tài khoản trở nên khó hơn đáng kể.

Hãy dạy đội ngũ của bạn thế nào là đúng chuẩn

Đào tạo thường xuyên về BEC là gì, nó hoạt động như thế nào và các dấu hiệu cảnh báo trông ra sao có thể biến nhân viên của bạn thành một tuyến phòng thủ.

Hãy để công cụ của bạn gánh bớt phần việc nặng

Bộ lọc spam và các công cụ xác thực tên miền như SPF, DKIM, and DMARC có thể lọc bỏ các nỗ lực BEC trước khi chúng đến được đội ngũ của bạn. Phát hiện dựa trên AI còn tiến xa hơn một bước. Nó học hành vi email bình thường trong tổ chức của bạn trông như thế nào và gắn cờ bất kỳ điều gì đáng ngờ.