Зміна методів атак призвела до різкого зростання порушень безпеки корпоративної електронної пошти

Кількість порушень безпеки корпоративної електронної пошти зростає. Корпорація Майкрософт виявила, що кіберзлочинці все частіше використовують BulletProftLink – популярну платформу для створення великомасштабних кампаній зловмисних листів. BulletProftLink пропонує комплексні послуги, зокрема шаблони, а також служби для хостингу й автоматизації BEC. Зловмисники, які використовують цю CaaS-платформу, отримують облікові дані й IP-адреси жертв.

Потім вони купують IP-адреси резидентних IP-служб, які відповідають місцеперебуванню жертв, створюють резидентні IP проксі-сервери й у такий спосіб маскують джерело свого трафіку. Оснащені локалізованим адресним простором, іменами користувачів і паролями, BEC-зловмисники можуть маскувати свої дії, обходити оповіщення "неможлива подорож" та відкривати шлюз для здійснення інших атак. Згідно з інформацією корпорації Майкрософт найчастіше цю тактику використовують кіберзлочинці з Азії й країн Східної Європи.

Неможлива подорож – це метод виявлення порушень безпеки облікових записів користувачів. Він дає змогу отримувати оповіщення з інформацією про те, що спроби входу в систему виконуються з двох місць, розташованих далеко одне від одного.

Спеціалізація й консолідація цього сектора кіберзлочинної економіки може призвести до широкого застосування резидентних IP-адрес для уникнення виявлення зловмисників. Використання резидентних IP-адрес, зіставлених із місцями перебування жертв, дає кіберзлочинцям змогу збирати великі обсяги вражених облікових даних і отримувати доступ до облікових записів. З метою масштабування цих атак зловмисники використовують ті самі IP- та (або) проксі-сервіси, що й фахівці з маркетингу та інші користувачі. Наприклад, один постачальник IP-служб має 100 мільйонів IP-адрес, які можуть змінюватися щосекунди.

Для розгортання фішингових кампаній і отримання вражених облікових даних зловмисники використовують рішення на основі моделі "фішинг як послуга", зокрема Evil Proxy, Naked Pages та Caffeine. BulletProftLink пропонує децентралізований дизайн шлюзу, який включає вузли відкритого блокчейна інтернет-комп’ютера для хостингу фішингових і BEC-сайтів. Тобто це складніша децентралізована веб-пропозиція, від якої набагато важче захиститися. Через оптимізацію інфраструктури цих сайтів і появу нових та вдосконалених відкритих блокчейнів користувачам усе складніше виявляти атаки й узгоджувати дії щодо їх усунення. Ви можете вилучити фішингове посилання. Однак CaaS-вміст усе одно залишиться в Інтернеті, і кіберзлочинці повторно використають його для створення нового посилання.

Збитки, понесені організаціями внаслідок вдалих BEC-атак, становлять сотні мільйонів доларів на рік. У 2022 році Команда з відновлення активів ФБР ініціювала створення Financial Fraud Kill Chain на основі 2838 скарг щодо пов’язаних із внутрішніми трансакціями BEC-атак, потенційні збитки від яких становили понад 590 мільйонів USD.

Крім серйозних фінансових наслідків, такі атаки також спричиняють довгострокові збитки, зокрема крадіжку ідентифікаційних даних (якщо їх було вражено) або втрату делікатних даних (якщо безпеку конфіденційної кореспонденції чи інтелектуальної власності було порушено внаслідок отримання зловмисного електронного листа й трафіку повідомлення).

Попри те, що зловмисники оснащені спеціальними інструментами для спрощення здійснення BEC-атак, зокрема наборами засобів для фішингу й списками підтверджених адрес електронної пошти для проведення кампаній проти керівників C-Suite, бухгалтерів рахунків до сплати тощо, організації можуть упровадити рішення, які дадуть їм змогу попереджати ці атаки та усувати ризики.

Зокрема, ідеться про політику автентифікації повідомлень, звітування й узгодженості на рівні домену (DMARC), яка забезпечує найнадійніший захист від повідомлень від імітованого відправника та відхиляє неавтентифікований вміст на поштовому сервері ще до його доставки. Крім того, завдяки звітам DMARC організації можуть отримувати відомості про джерела явної підробки. Варто зазначити, що ця інформація зазвичай не надається користувачам.

Ми переконані, що через кілька років організації перейдуть на повністю віддалену або гібридну модель роботи. Однак це не звільняє нас від необхідності зараз упроваджувати нові підходи до інформування персоналу про кібербезпеку. Працівники взаємодіють з усе більшою кількістю постачальників і підрядників та отримують усе більше нових електронних листів. Украй важливо розуміти, як зміни в ритмах роботи й кореспонденції впливають на вектори атак.

Зловмисники можуть здійснювати BEC-атаки з використанням телефонних викликів, текстових повідомлень, електронних листів або повідомлень у соціальних мережах. До інших поширених методів належать повідомлення від імітованого відправника із запитом на проходження автентифікації й підробка ідентичностей окремих користувачів і цілих компаній.

Перше, що потрібно зробити для вбезпечення організації, – посилити політики для відділів бухгалтерського обліку, внутрішнього контролю, праці й заробітної плати та роботи з персоналом, щоб відповідні працівники знали, як діяти в разі отримання запитів або повідомлень про зміни, пов’язані з платіжними засобами, банківськими послугами чи грошовими переказами. Ігнорування підозрілих запитів, які не відповідають вимогам політик, і встановлення зв’язку з їх відправниками через справжні сайти чи законних представників може вбезпечити організації від величезних збитків.

BEC-атаки – це чудовий приклад того, чому під час усунення кіберризиків необхідно використовувати багатофункціональний підхід, спрямований переважно на керівників, фінансових працівників, менеджерів відділу кадрів та інших осіб, які мають доступ до записів співробітників, як-от ідентифікаційних номерів, податкових декларацій, контактних даних і розкладів, а також на фахівців з IT, забезпечення відповідності вимогам та керування кіберризиками.

Дізнайтеся більше про BEC та іранські джерела загроз від Сімеона Какпові, старшого аналітика кіберзагроз.