Zmienianie taktyk powoduje wzrost liczby naruszeń biznesowej poczty e-mail

Działania cyberprzestępców związane z naruszeniem biznesowej poczty e-mail nabierają tempa. Firma Microsoft obserwuje znaczący trend związany z wykorzystywaniem przez atakujących platform, takich jak BulletProftLink, popularna platforma do tworzenia kampanii z wykorzystaniem złośliwych wiadomości na skalę przemysłową. BulletProftLink sprzedaje kompleksową usługę do ataków BEC obejmującą szablony, hosting i usługi zautomatyzowane. Atakujący korzystający z tego rozwiązania CaaS otrzymują poświadczenia i adres IP ofiary.

Następnie źródła zagrożeń prowadzące działania BEC kupują zgodne z lokalizacją ofiary adresy IP od dostawców usług IP dla gospodarstw domowych, tworząc serwery proxy z adresami IP przypisanymi do prywatnych miejsc zamieszkania, które umożliwiają cyberprzestępcom maskowanie ich pochodzenia. Tak uzbrojeni w zlokalizowaną przestrzeń adresową, na której mogą oprzeć swoje złośliwe działania, oraz w nazwy użytkowników i hasła atakujący za pomocą taktyk BEC mogą ukrywać swoje posunięcia, omijać flagi „niemożliwej podróży” i zapewniać sobie możliwości przeprowadzenia dalszych ataków. Firma Microsoft zaobserwowała, że tę taktykę najczęściej stosują źródła zagrożeń w Azji i w jednym z krajów Europy Wschodniej.

„Niemożliwa podróż” to mechanizm wykrywania stosowany w celu wskazania, że ​​konto użytkownika mogło zostać naruszone. Alerty te sygnalizują ograniczenia fizyczne, z których wynika, że zadanie jest wykonywane w dwóch lokalizacjach, między którymi jest zbyt duża odległość, aby można było ją pokonać między poszczególnymi czynnościami.

Specjalizacja i konsolidacja tego sektora gospodarki cyberprzestępstw może spowodować eskalację wykorzystywania adresów IP miejsc zamieszkania w celu uniknięcia wykrycia. Adresy IP miejsc zamieszkania mapowane na lokalizacje na dużą skalę zapewniają cyberprzestępcom mechanizm i możliwość gromadzenia dużych ilości naruszonych poświadczeń i kont dostępu. Źródła zagrożeń używają usług IP/proxy, których marketerzy i inne osoby mogą używać do prowadzenia badań, w celu skalowania tych ataków. Na przykład jeden z dostawców usług IP ma 100 milionów adresów IP, które mogą podlegać rotacji lub zmianie co sekundę.

Podczas gdy źródła zagrożeń wykorzystują wyłudzanie informacji jako usługę, jak na przykład Evil Proxy, Naked Pages i Caffeine, do wdrażania kampanii wyłudzania informacji i uzyskiwania naruszonych poświadczeń, platforma BulletProftLink oferuje projekt ze zdecentralizowaną bramą, która obejmuje węzły publicznego łańcucha bloków Internet Computer do hostowania witryn BEC i wyłudzania informacji, tworząc jeszcze bardziej wyrafinowane i zdecentralizowane rozwiązanie internetowe, którego zwalczanie jest znacznie trudniejsze. Rozmieszczanie infrastruktury tych witryn w złożonym i ewoluującym środowisku publicznych łańcuchów bloków sprawia, że identyfikowanie ich i dostosowywanie działań mających na celu ich usuniecie jest bardziej złożone. Mimo że można usunąć link prowadzący do treści wyłudzających informacje, sama treść pozostaje online, a cyberprzestępcy wracają, aby tworzyć nowe linki do istniejących treści CaaS.

Skuteczne ataki BEC kosztują organizacje setki milionów dolarów rocznie. W 2022 roku zespół FBI ds. odzyskiwania aktywów zainicjował proces eliminacji oszustw finansowych w związku z 2838 skargami dotyczącymi ataków BEC związanych z transakcjami krajowymi, które pociągały za sobą potencjalne straty przekraczające 590 mln USD.

Mimo że skutki finansowe są znaczące, szersze długoterminowe szkody mogą obejmować kradzież tożsamości w przypadku naruszenia danych osobowych albo utratę poufnych danych w przypadku ujawnienia poufnej korespondencji lub własności intelektualnej w ruchu złośliwych wiadomości e-mail i innych wiadomości.

Mimo że źródła zagrożeń stworzyły wyspecjalizowane narzędzia ułatwiające prowadzenie ataków BEC, w tym zestawy do wyłudzania informacji i listy zweryfikowanych adresów e-mail do celowania w dyrektorów najwyższego szczebla, kierowników odpowiedzialnych za rozrachunki z dostawcami i osoby pełniące inne określone role, przedsiębiorstwa mogą wdrażać metody zapobiegające atakom i ograniczające związane z nimi ryzyko.

Na przykład zasady „odrzucania” polegające na uwierzytelnianiu, raportowaniu i zgodności wiadomości opartych na domenie (DMARC) udostępniają najsilniejszą ochronę przed sfałszowanymi wiadomościami e-mail, zapewniając odrzucenie nieuwierzytelnionych wiadomości na serwerze poczty jeszcze przed dostarczeniem. Ponadto raporty DMARC zapewniają organizacji mechanizm uzyskiwania informacji o źródle prawdopodobnego fałszerstwa, czyli dane, których normalnie by nie uzyskała.

Mimo że organizacje już od kilku lat zajmują się zarządzaniem pracownikami w pełni zdalnymi lub hybrydowymi, nadal występuje potrzeba ponownego przemyślenia kwestii świadomości bezpieczeństwa w erze pracy hybrydowej. Pracownicy współpracują obecnie z większą liczbą dostawców i podwykonawców, wskutek czego otrzymują więcej wiadomości e-mail w rodzaju takich, które oglądają po raz pierwszy. W związku z tym niezwykle ważna jest świadomość skutków tych zmian w rytmie pracy i korespondencji dla obszaru organizacji podatnego na ataki.

Próby ataków BEC podejmowane przez źródła zagrożeń mogą przybierać różne formy — na przykład rozmów telefonicznych, wiadomości SMS, wiadomości e-mail lub wiadomości w mediach społecznościowych. Typowymi taktykami są też fałszowanie (spoofing) wiadomości z żądaniami uwierzytelnienia oraz podszywanie się pod osoby i firmy.

Dobrym pierwszym krokiem obronnym jest wzmocnienie zasad dla działów księgowości, kontroli wewnętrznej, płac lub kadr w zakresie reagowania na żądania lub powiadomienia dotyczące zmian w instrumentach płatniczych, danych bankowych lub przelewach bankowych. Wstrzymanie się i odłożenie realizacji żądań, które są w podejrzany sposób niezgodne z zasadami, lub skontaktowanie się z podmiotem, od którego pochodzi żądanie, za pośrednictwem jego wiarygodnej witryny internetowej i przedstawicieli może uchronić organizację przed ogromnymi stratami.

Ataki BEC stanowią doskonały przykład tego, dlaczego problemy cyberryzyka należy rozwiązywać w sposób interdyscyplinarny, uwzględniając we współpracy nie tylko specjalistów ds. informatyki, zapewniania zgodności i cyberryzyka, ale też kadrę kierowniczą i liderów, pracowników zajmujących się finansami, kierowników ds. kadr oraz inne osoby mające dostęp do danych pracowników, takich jak numery ubezpieczenia społecznego, zeznania podatkowe, dane kontaktowe i harmonogramy.

Dowiedz się więcej na temat ataków BEC i irańskich źródłach zagrożeń, zapoznając się ze szczegółowymi informacjami przygotowanymi przez Simeona Kakpovi, starszego analityka ds. analizy zagrożeń.