Taktikavahetus on kasvatanud ärimeiliteenuse pettuste hulka

Ärimeilide turbemurdega seotud küberkuritegevus kasvab. Microsoft täheldab märkimisväärset suundumust ründeplatvormide kasutamisel nagu BulletProftLink - populaarne platvorm tööstuslike ründemeilikampaaniate loomiseks. BulletProftLink müüb BEC-i jaoks täisteenust, sealhulgas malle, hostimist ja automatiseeritud teenuseid. Seda CaaS-i kasutavad vastased saavad ohvri identimisteabe ja IP-aadressi.

Seejärel ostavad BEC-küberohustajad IP-aadresse kodumajapidamiste IP-aadresside pakkujatelt, mis vastavad ohvri asukohale, luues IP-puhverserverid, mis võimaldavad küberkurjategijatel oma päritolu varjata. Nüüd, olles varustatud kohaliku aadressiruumiga, mis toetab lisaks kasutajanimedele ja paroolidele ka pahatahtlikke tegevusi, saavad BEC-ründajad oma liikumist varjata, mööda hiilida „võimatu reisi“ lipukestest ja avada lüüse edasiste rünnakute läbiviimiseks. Microsoft on täheldanud, et Aasia ja Ida-Euroopa riikide ohustajad kasutavad seda taktikat kõige sagedamini.

„Võimatu reis“ on tuvastus, mida kasutatakse kasutajakonto ohtude tuvastamiseks. Need hoiatused märgivad füüsilisi piiranguid, mis näitavad, et ülesannet täidetakse kahes kohas, ilma et ühest asukohast teise reisimiseks oleks piisavalt aega.

Selle küberkuritegevuse sektori spetsialiseerumine ja konsolideerumine võib suurendada kodumajapidamiste IP-aadresside kasutamist tuvastamisest kõrvalehoidmiseks. Kodumajapidamiste IP-aadressid, mis on vastendatud mastaapselt asukohtadele, annavad küberkurjategijatele võime ja võimaluse koguda suurel hulgal ohustatud identimisteavet ja pääseda juurde kontodele. Ohustajad kasutavad IP/puhverserveri teenuseid, mida turundajad ja teised võivad kasutada nende rünnakute mastaapimiseks. Ühel IP-teenuse pakkujal on näiteks 100 miljonit IP-aadressi, mida saab iga sekundi järel roteerida või muuta.

Kuigiohustajadkasutavad andmepüüki kui teenust, nagu Evil Proxy, Naked Pages ja Caffeine, andmepüügikampaaniate juurutamiseks ja ohustatud identimisteabe hankimiseks, pakub BulletProftLink detsentraliseeritud lüüse, mis hõlmab internetiarvuti avalikud plokiahela sõlmedandmepüügija BEC-saitide majutamiseks, luues veelgi keerukama detsentraliseeritud veebipakkumise, mida on palju raskem häirida. Nende saitide taristu jaotamine vastavalt avalike plokiahelate keerukusele ja arenevale kasvule muudab nende tuvastamise ja eemaldamistoimingute kooskõlastamise keerukamaks. Kuigi saate andmepüügilingi eemaldada, jääb sisu võrku ja küberkurjategijad naasevad, et luua uus link olemasolevale CaaS-i sisule.

Edukad BEC-rünnakud lähevad organisatsioonidele maksma sadu miljoneid dollareid aastas. 2022. aastal algatas FBI varade taastamise meeskond finantspettuste tapuahela 2838 BEC-i alase kaebuse kohta, mis hõlmasid riigisiseseid tehinguid,millega kaasnevad võimalikud kahjud üle 590 miljoni USA dollari.

Kuigi rahalised tagajärjed on märkimisväärsed, võivad laiemad pikaajalised kahjud hõlmata identiteedivargust, kui isikut tuvastav teave (PII) on ohus, või konfidentsiaalsete andmete kadu, kui tundlik kirjavahetus või intellektuaalomand puutub kokku pahatahtliku meilide ja sõnumite liiklusega.

Kuigi ohustajad on loonud BEC-i hõlbustamiseks spetsiaalseid tööriistu, sealhulgas andmepüügikomplektid ja kinnitatud meiliaadresside loendid, mis on suunatud C-Suite’i juhtidele, ostureskontrojuhtidele ja muudele konkreetsetele rollidele, saavad ettevõtted kasutada meetodeid rünnakute ennetamiseks ja riskide maandamiseks.

Näiteks domeenipõhise sõnumiautentimise, -teavituse ja -vastavuse (DMARC) „tagasilükkamise“ poliitika pakub tugevaimat kaitset võltsitud meilide eest, tagades, et autentimata kirjad lükatakse meiliserveris tagasi isegi enne kohaletoimetamist. Lisaks annab DMARC-teavitus mehhanismi, mille abil organisatsioon saab teadlikuks ilmse võltsimise allikast - see on teave, mida nad tavaliselt ei saaks.

Kuigi organisatsioonid on juba paar aastat tegelenud täielikult kaug- või hübriidtööjõu haldamisega, on hübriidtöö ajastul siiski vaja turvateadlikkus ümber mõtestada. Kuna töötajad töötavad rohkemate hankijate ja töövõtjatega, saades seeläbi rohkem „esmakordselt nähtud“ meile, on hädavajalik olla teadlik sellest, mida need muutused töörütmis ja kirjavahetuses tähendavadteie ründepinnale.

Ohustajate BEC-ründed võivad esineda mitmel kujul – sealhulgas telefonikõned, tekstsõnumid, meilid või sotsiaalmeedia sõnumid. Autentimistaotluste võltsimine ning isikute ja ettevõtetena esinemine on samuti levinud taktika.

Hea esmane kaitsesamm on raamatupidamise, sisekontrolli, palgaarvestuse või personaliosakondade poliitika tugevdamine selle kohta, kuidas reageerida päringutele või teatistele maksevahendite, panga või pangaülekannete muudatuste kohta. Kui astute sammu tagasi kõrvaltaotluste juurde, mis kahtlaselt ei järgi eeskirju, või võtate ühendust taotleva juriidilise isikuga selle seadusliku saidi ja esindajate kaudu, võib organisatsioone säästa tohututest kahjudest.

BEC-rünnakud on suurepärane näide sellest, miks tuleb küberriskidega tegelemisel pööeduda ka juhtide, finantstöötajate, personalijuhtide ja teiste poole, kellel on juurdepääs töötajate dokumentidele, nagu isikukoodid, maksuaruanded, kontaktteave ja ajakavad koos IT-, vastavus- ja küberriskiametnikega.

Lisateavet BEC-i ja Iraani ohustajate kohta leiate  küberohuteabe vanemanalüütiku Simeon Kakpovi ülevaatest.