手口の変化によって急増するビジネス メール詐欺

ビジネス メール詐欺をめぐるサイバー犯罪活動が加速しています。Microsoft は、産業スケールの悪意あるメール キャンペーンを作成するための人気プラットフォームである BulletProftLink のようなプラットフォームを攻撃者が利用する傾向が顕著であると確認しています。BulletProftLink は、BEC 用のテンプレート、ホスティング、自動化サービスを含むエンドツーエンドのサービスを販売しています。この CaaS を利用する攻撃者は、被害者の資格情報と IP アドレスを受け取ります。

次に BEC の脅威アクターは、被害者の所在地に一致する一般家庭用 IP サービスから IP アドレスを購入し、一般家庭用 IP プロキシを作成します。これにより、サイバー犯罪者の出所が隠蔽されます。ユーザー名とパスワードに加えて、悪意のあるアクティビティを支援するためのローカル アドレス空間を使用して身を固めた BEC 攻撃者の動きは覆い隠され、"不可能な移動" フラグを回避し、さらなる攻撃を実行するためのゲートウェイを開くことができます。Microsoft は、アジアと東欧諸国の脅威アクターがこの手口を最も頻繁に展開していることを確認しています。

"不可能な移動" とは、ユーザー アカウントが侵害されている可能性を示すのに使用される検知のことです。これらのアラートは、1 つの場所からもう 1 つの場所へ移動するのに適切な移動時間が存在しないため、タスクが 2 つの場所で実行されていることを示す物理的な制限にフラグを立てます。

サイバー犯罪の経済のこの分野の専門化と統合により、検出を回避するための一般家庭用 IP アドレスの使用がエスカレートする可能性があります。場所にマッピングされた大規模な一般家庭用 IP アドレスにより、サイバー犯罪者は、侵害された大量の資格情報を収集し、アカウントにアクセスする能力と機会を手に入れます。脅威アクターは、マーケティング担当者などが調査に使用している可能性のある IP/プロキシ サービスを利用して、このような攻撃を拡大しています。たとえば、ある IP サービス プロバイダーは、毎秒ローテーションしたり変更したりすることが可能な 1 億個の IP アドレスを持っています。

脅威アクターは、Evil Proxy、Naked Pages、Caffeine のようなサービスとしてのフィッシングを使用してフィッシング キャンペーンを展開し、侵害された資格情報を取得しますが、BulletProftLink は、インターネット コンピューターのパブリック ブロックチェーン ノードを含む分散型ゲートウェイ デザインを提供し、フィッシングや BEC サイトをホストすることで、破壊するのがはるかに難しい、さらに洗練された分散型 Web を提供しています。これらのサイトのインフラストラクチャを複雑かつ進化を続けるパブリック ブロックチェーン間に分散させることで、それらを特定したり、テイクダウン アクションを調整したりすることがより複雑になっています。フィッシング リンクを削除してもコンテンツはオンラインに残り、サイバー犯罪者は既存の CaaS コンテンツに新たなリンクを作成するために戻ってきます。

BEC 攻撃が成功すると、組織には年間数億ドルの損害が発生します。2022 年、FBI の Recovery Asset Team は、5 億 9,000 万米国ドル以上の潜在的損失を伴う国内取引を含む 2,838 件の BEC の苦情に対して、金融詐欺キル チェーンを開始しました。

金銭的な影響も甚大なものとなりますが、より長期的な被害としては、個人を特定できる情報 (PII) が漏えいした場合の個人情報の盗難や、悪意のあるメールやメッセージのトラフィックから機密文書や知的財産が漏えいした場合の機密データの損失などが考えられます。

脅威アクターは、フィッシング キットや、C-Suite のリーダー、買掛金担当者、その他の特定の役職を対象にした検証済みメール アドレスのリストなど、BEC を容易にするための特別なツールを作成していますが、企業は攻撃を先取りし、リスクを軽減する方法を採用することができます。

たとえば、ドメインベースのメッセージの認証、レポート、および適合 (DMARC) ポリシーの "拒否" は、なりすましメールに対する最も強力な防御策となり、認証されていないメッセージは、配信前であってもメール サーバーで拒否されることが保証されます。さらに DMARC レポートは、明らかな偽造と思われるメール (通常は受け取ることのない情報) の送信元を把握するためのメカニズムを組織に提供します。

組織が完全にリモートまたはハイブリッドな従業員を管理するようになってから数年が経過していますが、ハイブリッド作業時代におけるセキュリティ意識の再考は、依然として必要です。従業員は、より多くのベンダーや請負業者と仕事をするようになり、"初めて目にする" メールをより多く受け取るようになっているため、このような業務のリズムや通信の変化が攻撃面にとって何を意味するのかを意識することが不可欠です。

脅威アクターによる BEC の試みは、電話、テキスト メッセージ、メール、ソーシャル メディアのメッセージなど、さまざまな形態で行われます。認証要求メッセージのスプーフィングや、個人や企業になりすますことも一般的な手口です。

適切な防御の第一歩としては、経理、内部統制、給与計算、人事の部門に対して、支払手段、銀行取引、電信送金に関する要求や変更の通知を受けた場合の対応方法に関するポリシーを強化することが挙げられます。ポリシーに従わない不審な要求は、一歩下がって見送るか、正規のサイトや担当者を通じて要求元の団体に連絡することで、組織を莫大な損失から救うことができます。

BEC 攻撃は、サイバー リスクについて、社会保障番号、納税明細書、連絡先、スケジュールなどの従業員記録にアクセスできる経営幹部やリーダー、財務担当従業員、人事マネージャーと、IT 担当者、コンプライアンス担当者、サイバー リスク担当者が一体となって、部門横断的な方法で対処する必要があることを示す良い例です。

Senior Threat Intelligence Analyst の  Simeon Kakpovi のインサイトから、BEC と イランの脅威アクター について詳しく学びましょう。