Τι είναι το business email compromise (BEC);

Η παραβίαση επαγγελματικού email είναι μια κυβερνοεπίθεση κατά την οποία εγκληματίες υποδύονται κάποιον που εμπιστεύεστε, για να σας ξεγελάσουν ώστε να στείλετε χρήματα ή να παραδώσετε ευαίσθητα δεδομένα. Οι επιτιθέμενοι περνούν εβδομάδες μαθαίνοντας πώς επικοινωνεί μια εταιρεία, ποιος έχει την εξουσία και πότε να χτυπήσουν. Μέχρι να φτάσει το email, μοιάζει με ένα κανονικό email από κάποιον που γνωρίζετε.

Πώς λειτουργεί μια επίθεση BEC;

Υπάρχει ένα δοκιμασμένο και αξιόπιστο εγχειρίδιο για αυτές τις επιθέσεις και οι απατεώνες το ακολουθούν κάθε φορά.

Βήμα 1 – Βρείτε τον στόχο

Το όλο νόημα πίσω από μια επίθεση παραβίασης επαγγελματικού email είναι ότι πρέπει να είναι πειστική. Ευτυχώς για τους επιτιθέμενους, το Internet είναι χρυσωρυχείο πληροφοριών για πιθανούς στόχους. Μια γρήγορη ματιά στο προφίλ σας στα social media μπορεί να αποκαλύψει τη δουλειά σας, στενούς φίλους και ακόμη και τον τόνο της φωνής σας. Συνδυάστε το αυτό με δελτία Τύπου για τις μελλοντικές κινήσεις της εταιρείας σας και βιογραφικά από εταιρικούς ιστότοπους, και αρχίζει να φαίνεται αξιόπιστο.

Οι επιτιθέμενοι μπορούν να συλλέξουν όλες αυτές τις πληροφορίες και, μέσα σε δευτερόλεπτα, να δημιουργήσουν ένα email που φαίνεται και ακούγεται απολύτως αληθινό.

Βήμα 2 – Μπείτε στο inbox

Για να φαίνεται αληθινό το περιεχόμενο του email, οι επιτιθέμενοι πρέπει να το τυλίξουν σε ένα λαμπερό, πιστευτό πακέτο. Αν η διεύθυνση email δεν φαίνεται να προέρχεται από έμπιστη πηγή, όλη η απάτη θα αποτύχει.

Οι επιτιθέμενοι θα μπορούσαν να κάνουν spoofing του domain καταχωρίζοντας ένα όνομα όπως acme-corp.com αντί για acmecorp.com. Ή, αν είναι αρκετά έξυπνοι, να παραβιάσουν το πραγματικό inbox, κάνοντάς το σχεδόν αδύνατο να ξεχωρίσει από ένα γνήσιο μήνυμα.

Άλλωστε, αν μοιάζει με πάπια και κάνει σαν πάπια, οι περισσότεροι θα νομίσουν ότι είναι πάπια.

Βήμα 3 – Χτίστε εμπιστοσύνη

Σε αυτές τις επιθέσεις, η υπομονή είναι το παν. Οι επιτιθέμενοι μπορούν να κρύβονται σε ένα παραβιασμένο inbox για εβδομάδες, διαβάζοντας αλυσίδες email και μαθαίνοντας τα στυλ επικοινωνίας. Όταν τελικά φτάσει το email, ταιριάζει με τα προηγούμενα email, μιμούμενο τον τόνο και τη ροή της συζήτησης.

Βήμα 4 – Κάντε το αίτημα

Μόλις οι επιτιθέμενοι σας μάθουν απ’ έξω κι ανακατωτά — τον τόνο της φωνής σας, τα ονόματα και τους τίτλους των συναδέλφων σας και τι συμβαίνει στην εταιρεία σας — και καταφέρουν να εισχωρήσουν στο email σας, το αίτημα αποστέλλεται.

Συνήθως πρόκειται για κάτι που δεν μπορεί εύκολα να αναιρεθεί. Μπορεί να περιλαμβάνει αποστολή χρημάτων σε τραπεζικό λογαριασμό ή κοινοποίηση ιδιωτικών πληροφοριών. Το βασικό είναι ότι πρέπει να είναι μη αναστρέψιμο. 

Μόλις ο στόχος καταλάβει ότι κάτι δεν πάει καλά, ο επιτιθέμενος χρειάζεται η ζημιά να έχει ήδη γίνει. Αν είναι ιδιαίτερα πανούργοι, μπορεί ακόμη και να το στείλουν κατά τη διάρκεια εορταστικής περιόδου, όταν όλοι είναι λιγότερο προσεκτικοί και οι πιθανότητες επιτυχίας είναι μεγαλύτερες.

Βήμα 5 – Εξαφανιστείτε χωρίς ίχνος

Αφού σταλούν τα χρήματα, μεταφέρονται γρήγορα μέσω μιας σειράς ενδιάμεσων λογαριασμών. Αυτοί συνήθως βρίσκονται στο εξωτερικό, κάνοντας τη διαδρομή των χρημάτων πολύ δύσκολο να εντοπιστεί ακόμη και από τις αρχές επιβολής του νόμου.

Παράδειγμα παραβίασης επαγγελματικού email

Η παραβίαση επαγγελματικού email είναι το τελικό αφεντικό των ψηφιακών επιθέσεων. Συνήθως περιλαμβάνει μεγάλες εταιρείες και αστρονομικά χρηματικά ποσά.

Toyota Boshoku ($37M)

Το 2019, ένας από τους βασικούς προμηθευτές της Toyota έχασε δεκάδες εκατομμύρια σε μία μόνο μεταφορά. Ο επιτιθέμενος παραβίασε το σύστημα email της Toyota Boshoku. Διάβασε μηνύματα και έμαθε πώς επικοινωνούσε η εταιρεία. Όταν προέκυψε στη συζήτηση μια μεγάλη μεταφορά χρημάτων, ζήτησε από κάποιον στην εταιρεία με την εξουσία να μετακινεί χρήματα να ενημερώσει τα στοιχεία του τραπεζικού λογαριασμού για τη μεταφορά. Έμοιαζε νόμιμο και τα χρήματα στάλθηκαν. 

Έτσι απλά, 37 εκατομμύρια δολάρια, χάθηκαν.

Google and Facebook ($120M)

Μεταξύ 2013 και 2015, η Google και το Facebook χτυπήθηκαν από την απόλυτη απάτη ψεύτικου προμηθευτή. Ένας εγκληματίας καταχώρισε μια ψεύτικη επιχείρηση χρησιμοποιώντας το ακριβές όνομα ενός νόμιμου κατασκευαστή hardware που χρησιμοποιούσαν και οι δύο εταιρείες. Πλαστογράφησε συμβόλαια και έστειλε τιμολόγια που έμοιαζαν συνηθισμένα απευθείας στα λογιστήριά τους. Επειδή ο προμηθευτής ήταν ήδη ελεγμένος και έμπιστος, οι πληρωμές εγκρίθηκαν χωρίς δεύτερη σκέψη. Σε διάστημα δύο ετών, περισσότερα από 120 εκατομμύρια δολάρια κατέληξαν κατευθείαν στους τραπεζικούς λογαριασμούς του απατεώνα.

Ubiquiti Networks ($46.7M)

Το 2015, ο κολοσσός δικτύωσης Ubiquiti έπεσε θύμα παρόμοιας απάτης. Ο επιτιθέμενος δεν μπήκε καν στον κόπο να στήσει ψεύτικη επιχείρηση ή να παραβιάσει προμηθευτές τρίτων. Αντίθετα, εισέβαλε, υποδύθηκε ανώτατα στελέχη της εταιρείας και έστειλε επείγοντα αιτήματα μεταφοράς απευθείας στο εσωτερικό οικονομικό τμήμα. Βασιζόμενος αποκλειστικά στην εξουσία που ενέπνεε το όνομα του ψεύτικου στελέχους, ο υπάλληλος ακολούθησε τις οδηγίες και έστειλε τα χρήματα στο εξωτερικό. Μέχρι να σταματήσει κάποιος για να το ελέγξει ξανά, είχαν σταλεί 46,7 εκατομμύρια δολάρια.

Τύποι επιθέσεων παραβίασης επαγγελματικού email

Δεν μοιάζουν όλα τα παραδείγματα παραβίασης επαγγελματικού email το ίδιο. Φυσικά, ο στόχος είναι πάντα να ξεγελάσουν τους ανθρώπους ώστε να παραδώσουν όσο το δυνατόν περισσότερα χρήματα, αλλά η προσέγγιση μπορεί να είναι πολύ διαφορετική.

Απάτη CEO (πλαστοπροσωπία στελέχους)

Αυτή είναι η πιο αναγνωρίσιμη μορφή BEC. Ένας επιτιθέμενος υποδύεται ένα ανώτερο στέλεχος, συνήθως έναν CEO ή CFO, και πιέζει κάποιον στα οικονομικά να μετακινήσει χρήματα. Λειτουργεί λόγω της δυναμικής εξουσίας. Όταν το αφεντικό θέλει κάτι, οι περισσότεροι άνθρωποι δεν σταματούν να ρωτήσουν γιατί. Αν αυτό συνδυαστεί με ένα πιστευτό υπόβαθρο, αρκεί για να κάνει κάποιον να ενεργήσει χωρίς δεύτερη σκέψη.

Παραβίαση email προμηθευτή

Οι επιτιθέμενοι στοχεύουν σχέσεις εκτός της εταιρείας αντί να προσποιούνται ότι είναι κάποιος από μέσα. Στοχεύουν έμπιστους προμηθευτές και συνεργάτες, παρεισφρέουν σε υπάρχουσες συνομιλίες email και αντικαθιστούν τα πραγματικά στοιχεία πληρωμής με τα δικά τους. Από την πλευρά του θύματος, μοιάζει με μια συνηθισμένη ενημέρωση τιμολογίου από έναν προμηθευτή με τον οποίο συνεργάζονται εδώ και χρόνια.

Κατάληψη λογαριασμού

Αυτή είναι η πιο επικίνδυνη παραλλαγή επειδή δεν υπάρχει καθόλου spoofing. Ο επιτιθέμενος χρησιμοποιεί τον πραγματικό λογαριασμό. Το email έρχεται από πραγματική διεύθυνση και χρησιμοποιεί τον σωστό τόνο. Το μήνυμα φαίνεται απολύτως φυσιολογικό, γιατί τεχνικά είναι.

Εκτροπή μισθοδοσίας

Αυτό δεν στοχεύει τα χρήματα της εταιρείας. Αντίθετα, στοχεύει τους εργαζομένους. Οι επιτιθέμενοι προσποιούνται ότι είναι από το HR ή ότι είναι εργαζόμενος και ζητούν ενημέρωση μισθοδοσίας, ανακατευθύνοντας αθόρυβα έναν μισθό σε λογαριασμό που ελέγχουν. 

Το θύμα δεν το ανακαλύπτει μέχρι την ημέρα πληρωμής και, επειδή τα ποσά είναι μικρότερα και το αίτημα φαίνεται φυσιολογικό, σπάνια ενεργοποιεί ειδοποίηση απάτης. Είναι μια πιο αργή εκδοχή του BEC, αλλά αν χτυπήσει αρκετούς εργαζομένους, το ποσό αυξάνεται γρήγορα.

BEC vs Phishing – Ποια είναι η διαφορά;

Τα phishing email υπάρχουν εδώ και πολύ καιρό, και οι περισσότεροι άνθρωποι ξέρουν πώς μοιάζει ένα τέτοιο email. Είναι αυτό που σας λέει ότι κερδίσατε ένα βραβείο ή ότι ένας Νιγηριανός πρίγκιπας χρειάζεται τη βοήθειά σας. Στέλνονται μαζικά και βασίζονται στον τεράστιο όγκο για να πιάσουν κάποιον απροετοίμαστο.

Εκεί που το phishing είναι δίχτυ, το BEC είναι ελεύθερος σκοπευτής. Οι επιτιθέμενοι περνούν εβδομάδες ερευνώντας μία εταιρεία, μερικές φορές ένα συγκεκριμένο άτομο. Μέχρι να φτάσει το email, μοιάζει με ένα μήνυμα Τρίτης πρωί από κάποιον που γνωρίζετε.

Το phishing συνήθως στοχεύει στα διαπιστευτήρια σύνδεσής σας, αλλά το BEC παραλείπει εντελώς αυτό το βήμα και πηγαίνει κατευθείαν στα χρήματα ή στα δεδομένα.

Πώς να εντοπίσετε μια επίθεση παραβίασης επαγγελματικού email

Οι επιθέσεις BEC έχουν σχεδιαστεί ώστε να φαίνονται φυσιολογικές. Αλλά αν ξέρετε τι να προσέξετε, τα σημάδια υπάρχουν.

• Η βιασύνη— Ένα email που σας πιέζει να μετακινήσετε χρήματα γρήγορα, χωρίς περιθώριο να σταματήσετε και να επαληθεύσετε.

• Η ξαφνική αλλαγή — Ένας προμηθευτής ή συνάδελφος έχει ξαφνικά ενημερώσει τα στοιχεία πληρωμής του από το πουθενά.

• Η σχεδόν σωστή διεύθυνση — Το email του αποστολέα απέχει μόλις έναν χαρακτήρα από το πραγματικό.

• Ο τόνος που κάτι έχει— Κάτι φαίνεται λάθος, υπερβολικά επίσημο, υπερβολικά χαλαρό ή παράξενα μυστικοπαθές.

• Το αίτημα από το πουθενά — Σας ζητείται να κάνετε κάτι που κανονικά θα περνούσε από διαφορετικό κανάλι.
  

Πώς να αποτρέψετε μια επίθεση παραβίασης επαγγελματικού email

Το να γνωρίζετε πώς λειτουργούν αυτές οι επιθέσεις είναι η μισή μάχη. Η άλλη μισή είναι να βεβαιωθείτε ότι η επιχείρησή σας δεν είναι εύκολος στόχος.

Σηκώστε το τηλέφωνο

Αν ένα email σας ζητά να μεταφέρετε χρήματα ή να ενημερώσετε στοιχεία πληρωμής, μην απαντήσετε σε αυτό. Καλέστε το άτομο απευθείας χρησιμοποιώντας έναν αριθμό που έχετε ήδη, όχι αυτόν από το email. Χρειάζονται τριάντα δευτερόλεπτα και είναι το πιο αποτελεσματικό πράγμα που μπορείτε να κάνετε.

Ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων

Αν ένας επιτιθέμενος αποκτήσει τα διαπιστευτήρια σύνδεσης κάποιου, το 2FA μπορεί να αποτρέψει την πλήρη κατάληψη του inbox. Δεν θα σταματήσει τα πάντα, αλλά κάνει την παραβίαση λογαριασμού σημαντικά δυσκολότερη.

Διδάξτε την ομάδα σας πώς μοιάζει το σωστό

Η τακτική εκπαίδευση σχετικά με το τι είναι το BEC, πώς λειτουργεί και πώς μοιάζουν τα προειδοποιητικά σημάδια μπορεί να μετατρέψει τους εργαζομένους σας σε γραμμή άμυνας.

Αφήστε τα εργαλεία σας να κάνουν μέρος της βαριάς δουλειάς

Τα φίλτρα spam και τα εργαλεία ελέγχου ταυτότητας domain όπως SPF, DKIM, and DMARC μπορούν να φιλτράρουν τις απόπειρες BEC πριν φτάσουν στην ομάδα σας. Η ανίχνευση που βασίζεται σε AI πηγαίνει ένα βήμα παραπέρα. Μαθαίνει πώς μοιάζει η φυσιολογική συμπεριφορά email μέσα στον οργανισμό σας και επισημαίνει οτιδήποτε ύποπτο.