การเปลี่ยนแปลงกลยุทธ์ที่ทำให้มีการโจมตีอีเมลระดับธุรกิจ

กิจกรรมอาชญากรไซเบอร์เกี่ยวกับการโจมตีอีเมลระดับธุรกิจนั้นเพิ่มสูงมากขึ้น Microsoft สังเกตเห็นแนวโน้มที่สำคัญในการใช้แพลตฟอร์มของผู้โจมตี เช่น BulletProftLink ซึ่งเป็นแพลตฟอร์มยอดนิยมสำหรับการสร้างแคมเปญเมลที่เป็นอันตรายในระดับอุตสาหกรรม BulletProftLink จำหน่ายบริการแบบครบวงจร ได้แก่ เทมเพลต การโฮสต์ และบริการอัตโนมัติสำหรับ BEC ฝ่ายตรงข้ามที่ใช้ CaaS นี้จะได้รับข้อมูลประจำตัวและที่อยู่ IP ของเหยื่อ

ผู้ดำเนินการภัยคุกคามของ BEC จะซื้อที่อยู่ IP จากบริการ IP ที่อยู่อาศัยซึ่งตรงกับตำแหน่งที่ตั้งของเหยื่อ เพื่อสร้างพร็อกซี IP ที่อยู่อาศัยซึ่งช่วยให้อาชญากรไซเบอร์สามารถปกปิดที่มาของตนได้ ปัจจุบันนี้ พื้นที่ที่อยู่เฉพาะที่เพื่อรองรับกิจกรรมที่เป็นอันตรายต่างๆ นอกเหนือจากชื่อผู้ใช้และรหัสผ่านช่วยให้ผู้โจมตี BEC สามารถปิดบังการเคลื่อนไหว หลีกเลี่ยงสถานะ “การเดินทางที่เป็นไปไม่ได้” และเปิดประตูเพื่อทำการโจมตีเพิ่มเติมได้ Microsoft ได้สังเกตเห็นว่าผู้ดำเนินการภัยคุกคามในประเทศแถบเอเชียและแถบยุโรปตะวันออกนั้นใช้กลยุทธ์นี้บ่อยที่สุด

การเดินทางที่เป็นไปไม่ได้นี้คือการตรวจจับที่ใช้เพื่อระบุว่าบัญชีผู้ใช้อาจมีช่องโหว่ การแจ้งเตือนเหล่านี้จะทำเครื่องหมายกำกับข้อจำกัดทางกายภาพที่ระบุว่างานหนึ่งกำลังดำเนินการอยู่ในสถานที่สองแห่ง โดยไม่มีระยะเวลาที่เหมาะสมในการเดินทางจากสถานที่หนึ่งไปยังอีกสถานที่หนึ่ง

ความเชี่ยวชาญและการรวมตัวกันของภาคส่วนเศรษฐกิจอาชญากรรมไซเบอร์นี้อาจยกระดับการใช้ที่อยู่ IP สำหรับที่อยู่อาศัยเพื่อหลบเลี่ยงการตรวจจับได้ ที่อยู่ IP สำหรับที่อยู่อาศัยซึ่งแมปกับตำแหน่งที่ตั้งในระดับต่างๆ ช่วยให้อาชญากรไซเบอร์สามารถรวบรวมข้อมูลประจำตัวและบัญชีการเข้าถึงที่มีช่องโหว่ได้จำนวนมาก ผู้ดำเนินการภัยคุกคามใช้บริการ IP/พร็อกซีที่นักการตลาดและคนอื่นๆ อาจใช้สำหรับการค้นคว้าเพื่อขยายขนาดการโจมตีเหล่านี้ ตัวอย่างเช่น ผู้ให้บริการ IP รายหนึ่งมีที่อยู่ IP 100 ล้านที่อยู่ที่หมุนเวียนหรือเปลี่ยนแปลงได้ทุกวินาที

แม้ผู้ดำเนินการภัยคุกคามจะใช้ฟิชชิ่งในรูปแบบบริการ เช่น Evil Proxy, Naked Pages และ Caffeine เพื่อปรับใช้แคมเปญฟิชชิ่งและรวบรวมข้อมูลประจำตัวที่มีช่องโหว่ แต่ BulletProftLink นั้นมีการออกแบบเกตเวย์แบบกระจายศูนย์ ซึ่งรวมโหนดบล็อกเชนสาธารณะของ Internet Computer เอาไว้ เพื่อโฮสต์ฟิชชิ่งและเว็บไซต์ BEC ซึ่งจะสร้างข้อเสนอเว็บไซต์แบบกระจายศูนย์ที่ซับซ้อนยิ่งขึ้นและจัดการได้ยาก การกระจายโครงสร้างพื้นฐานของเว็บไซต์เหล่านี้ไปตามความซับซ้อนและการพัฒนาเติบโตของบล็อกเชนสาธารณะทำให้การระบุและการจัดแนวการดำเนินการจัดการนั้นมีความซับซ้อนมากขึ้น แม้ว่าคุณจะสามารถลบลิงก์ฟิชชิ่งออกได้ แต่เนื้อหาจะยังคงออนไลน์อยู่ และอาชญากรไซเบอร์ก็จะกลับมาสร้างลิงก์ใหม่ไปยังเนื้อหา CaaS ที่มีอยู่ได้

การโจมตีแบบ BEC ที่ประสบความสำเร็จทำให้องค์กรต้องสูญเสียเงินหลายร้อยล้านดอลลาร์ต่อปี ในปี 2022 ทีมกู้คืนสินทรัพย์ของ FBI ได้ริเริ่มโครงการห่วงโซ่การโจมตีทางไซเบอร์การฉ้อโกงทางการเงิน (Financial Fraud Kill Chain) สำหรับการร้องเรียน BEC จำนวน 2,838 คดีที่เกี่ยวข้องกับธุรกรรมในประเทศที่อาจสูญเสียมากกว่า 590 ล้านเหรียญสหรัฐฯ

แม้ว่าผลกระทบทางการเงินจะมีนัยสำคัญ แต่ความเสียหายระยะยาวในวงกว้างนั้นอาจรวมถึงการโจรกรรมข้อมูลส่วนบุคคลหากข้อมูลส่วนบุคคล (PII) มีช่องโหว่ หรือการสูญเสียข้อมูลที่เป็นความลับหากการติดต่อสื่อสารที่ละเอียดอ่อนหรือทรัพย์สินทางปัญญาถูกเปิดเผยในอีเมลและการรับส่งข้อความที่เป็นอันตราย

แม้ว่าผู้ดำเนินการภัยคุกคามได้สร้างเครื่องมือพิเศษเพื่ออำนวยความสะดวกในการโจมตี BEC รวมถึงชุดฟิชชิ่งและรายชื่อที่อยู่อีเมลที่ได้รับการยืนยันแล้ว ซึ่งกำหนดเป้าหมายไปที่เหล่าผู้นำระดับ C-Suite, ผู้นำฝ่ายบัญชีเจ้าหนี้ และบทบาทเฉพาะอื่นๆ แต่หลายๆ องค์กรสามารถใช้วิธีการมากมายเพื่อเตรียมตัวรับมือการโจมตีและลดความเสี่ยงได้

ตัวอย่างเช่น นโยบายการรับรองความถูกต้อง การรายงาน และความสอดคล้องกันของข้อความตามโดเมน (DMARC) ในส่วน “การปฏิเสธ” นั้นให้การป้องกันอีเมลปลอมแปลงที่แข็งแกร่งที่สุด ซึ่งช่วยให้มั่นใจได้ว่าข้อความที่ไม่ผ่านการรับรองความถูกต้องจะถูกปฏิเสธที่เซิร์ฟเวอร์อีเมล และอาจถูกปฏิเสธตั้งแต่ก่อนส่ง นอกจากนั้นแล้ว รายงาน DMARC ยังมีกลไกสำหรับให้องค์กรได้รู้แหล่งที่มาของการปลอมแปลงที่ชัดเจนนั้นด้วย ซึ่งเป็นข้อมูลที่ปกติแล้วจะไม่ได้รับ

แม้ว่าหลายองค์กรจะใช้เวลาสองสามปีในการจัดการพนักงานที่ทำงานทางไกลหรือทำงานแบบไฮบริด แต่การทบทวนความตระหนักรู้ด้านความปลอดภัยในยุคการทำงานแบบไฮบริดนี้ยังคงเป็นเรื่องจำเป็น เนื่องจากพนักงานต้องทำงานร่วมกับผู้ขายและผู้รับเหมามากขึ้น ด้วยเหตุนี้จึงได้รับอีเมล “ที่ไม่เคยเห็นมาก่อน” มากขึ้น และจำเป็นต้องตระหนักว่าการเปลี่ยนแปลงจังหวะการทำงานและการโต้ตอบเหล่านี้มีความหมายต่อพื้นหน้าของการโจมตีของคุณอย่างไร

ความพยายามในการโจมตี BEC ของผู้ดำเนินการภัยคุกคามอาจมีได้หลายรูปแบบ ไม่ว่าจะเป็นการโทรศัพท์ ข้อความ อีเมล หรือข้อความโซเชียลมีเดีย การปลอมแปลงข้อความคำขอการรับรองความถูกต้องและการแอบอ้างเป็นบุคคลและบริษัทก็เป็นกลยุทธ์ที่พบได้บ่อยเช่นกัน

ขั้นตอนแรกในการป้องกันที่ดีคือการเสริมสร้างนโยบายสำหรับฝ่ายบัญชี การควบคุมภายใน บัญชีเงินเดือน หรือทรัพยากรบุคคล เกี่ยวกับวิธีการตอบสนองเมื่อมีการร้องขอหรือการแจ้งเตือนเกี่ยวกับการเปลี่ยนแปลงในส่วนเครื่องมือการชำระเงิน การธนาคาร หรือการโอนเงินผ่านธนาคาร การถอยออกมาหนึ่งก้าวเพื่อกีดกันคำขอที่น่าสงสัยว่าไม่เป็นไปตามนโยบาย หรือการติดต่อหน่วยงานที่ร้องขอผ่านเว็บไซต์และตัวแทนที่ถูกต้องตามกฎหมาย ล้วนช่วยให้องค์กรรอดพ้นจากความสูญเสียครั้งใหญ่ได้

การโจมตีแบบ BEC เป็นตัวอย่างที่ดีว่าเหตุใดจึงต้องจัดการความเสี่ยงทางไซเบอร์ในทุกๆ สายงานระหว่างทีมผู้บริหารและผู้นำ พนักงานการเงิน ผู้จัดการฝ่ายทรัพยากรบุคคล และคนอื่นๆ ที่สามารถเข้าถึงบันทึกของพนักงาน เช่น หมายเลขประกันสังคม ใบแจ้งยอดภาษี ข้อมูลติดต่อ และกำหนดการต่างๆ รวมถึงเจ้าหน้าที่ฝ่ายไอที การปฏิบัติตามกฎระเบียบ และความเสี่ยงทางไซเบอร์ด้วย

เรียนรู้เพิ่มเติมเกี่ยวกับ BEC และ  ผู้ดำเนินการภัยคุกคามชาวอิหร่าน กับ ข้อมูลเชิงลึกจาก Simeon Kakpovi นักวิเคราะห์ข่าวกรองภัยคุกคามอาวุโส