Változó taktikák táplálják az üzleti levelezéssel kapcsolatos csalások hullámát

Az üzleti levelezéssel kapcsolatos csalásokkal összefüggő kiberbűnözői tevékenység egyre fokozódik. A Microsoft jelentősen emelkedő trendet figyelt meg a platformok támadók általi használatában, e platformok egyike a BulletProftLink, amely igen népszerű ipari léptékű, kártevő levelek küldésére szolgáló kampányok létrehozásához. A BulletProftLink teljes körű szolgáltatást nyújt, amely az üzleti levelezéssel kapcsolatos csalásokhoz használható sablonokat, üzemeltetést és automatizált szolgáltatásokat is tartalmaz. Az ezt a kiberbűnözési szolgáltatást használó ellenségek hitelesítő adatokhoz juthatnak, és megkapják az áldozat IP-címét.

Az üzleti levelezéssel kapcsolatos csalásokra szakosodott fenyegető szereplők ezután az áldozat földrajzi helyének megfelelő IP-címeket vásárolnak lakossági IP-szolgáltatásoktól, így olyan lakossági IP-proxykat hozhatnak létre, amelyekkel elfedhetik a tevékenységeik eredetét. Miután a felhasználónevek és jelszavak mellett felszerelkeztek a kártékony tevékenységeiket támogató helyi címtartománnyal, az üzleti levelezést támadók elfedhetik a mozgásukat, megkerülhetik a „lehetetlen utazásra” vonatkozó jelzéseket, és átjárót nyithatnak további támadásokhoz. A Microsoft azt figyelte meg, hogy a leggyakrabban ázsiai és egy kelet-európai országbeli fenyegető szereplők alkalmazzák ezt a taktikát.

A „lehetetlen utazás” egy olyan észlelési technika, amellyel jelezhető, hogy egy felhasználói fiókot esetleg feltörtek. Ezek a riasztások olyan fizikai korlátokat jeleznek, amelyek arra utalnak, hogy két helyen végeznek el valamilyen feladatot, de nincs elegendő idő a két hely közötti utazásra.

A kiberbűnözési gazdaság e szektorának specializálódása és konszolidációja ahhoz vezethet, hogy egyre többször használnak lakossági IP-címeket az észlelés elkerüléséhez. A nagy tételben elérhető, földrajzi helyeknek megfeleltetett lakossági IP-címek lehetővé teszik a kiberbűnözők számára, hogy nagy mennyiségű feltört hitelesítő adatot szerezzenek, és hozzáférjenek fiókokhoz. A fenyegető szereplők olyan IP- és proxyszolgáltatásokat használnak a támadásaik kiterjesztéséhez, mint amilyeneket a marketingesek és mások kutatásokhoz használhatnak. Egy IP-szolgáltató például 100 millió IP-címmel rendelkezik, amelyek másodpercenként váltogathatók vagy cserélhetők.

Míg a fenyegető szereplők szolgáltatásként nyújtott adathalászati rendszerek – például az Evil Proxy, a Naked Pages és a Caffeine – használatával lebonyolíthatnak adathalászati kampányokat, és feltört hitelesítő adatokat szerezhetnek, a BulletProftLink egy decentralizált átjárót kínál, amely internetes számítógépes nyilvános blokklánccsomópontokat is tartalmaz adathalászatra és üzleti levelezéssel kapcsolatos csalásokra szolgáló webhelyek üzemeltetéséhez, ezzel még kifinomultabb decentralizált webes ajánlatot tesz az asztalra, amelynek sokkal nehezebb megszakítani a működését. Azáltal, hogy elosztják az ilyen webhelyek infrastruktúráját a nyilvános blokkláncok összetett és egyre bővülő rendszerében, összetettebbé válik az azonosításuk és a felszámolásukra szolgáló megfelelő intézkedések kialakítása. Egy adathalász célú hivatkozás eltávolítható ugyan, de a tartalom online elérhető marad, és a kiberbűnözők visszatérhetnek, hogy létrehozzanak egy új, a szolgáltatásként nyújtott kiberbűnözési tartalomra mutató hivatkozást.

Az üzleti levelezéssel kapcsolatos csalásokra irányuló sikeres támadások évente több száz millió dollárba kerülnek a különböző szervezeteknek. 2022-ben az FBI Recovery Asset csapata elindította az üzleti csalások felszámolására irányuló műveletét (Financial Fraud Kill Chain) 2838 üzleti levelezéssel kapcsolatos csalásra vonatkozó panasz nyomán, amelyekben potenciálisan több mint 590 millió USD veszteséget okozó belföldi tranzakció volt érintett.

Bár a pénzügyi következmények is jelentősek, a szélesebb körű, hosszú távú károk közé tartozhat az identitáslopás is, ha személyazonosításra alkalmas adatokat is feltörnek, illetve a bizalmas adatok elvesztése, ha bizalmas levelezéseket vagy szellemi tulajdont hoznak nyilvánosságra rosszindulatú e-mail- vagy üzenetforgalomban.

Bár a fenyegető szereplők specializált eszközöket alkottak az üzleti levelezéssel kapcsolatos csalások elősegítésére, egyebek között adathalászati csomagokat, valamint megerősített e-mail-címekből álló listákat, amelyekkel megcélozhatók a vállalatvezetők, kötelezettségek kifizetésére jogosult vezetők és egyéb meghatározott szerepkörök, a vállalatok alkalmazhatnak olyan módszereket, amelyekkel megelőzhetők a támadások, és csökkenthető a kockázat.

Például egy „elutasító” tartományalapú üzenethitelesítési, jelentési és megfelelőségi (DMARC) házirend a legerősebb védelmet jelenti a hamis e-mailekkel szemben, mert biztosítja, hogy a nem hitelesített üzenetek már a levelezési kiszolgálón, kézbesítés előtt el legyenek utasítva. Emellett a DMARC-jelentések egy olyan mechanizmust is biztosítanak, amellyel a szervezetek tudomást szerezhetnek a nyilvánvaló hamisítások forrásáról (szokásos esetben nem jutnának ilyen információhoz).

Bár a szervezetek már pár éve foglalkoznak a teljesen távoli vagy hibrid munkaerő kezelésével, a hibrid munkavégzés korában még mindig át kell gondolni a biztonsági tudatosság kérdését. Az alkalmazottak több beszállítóval és alvállalkozóval dolgoznak együtt, ezért több olyan e-mailt kapnak, amelyet ők látnak először, így létfontosságú tisztában lenniük azzal, hogy ezek a munkabeosztásuk és a levelezésük terén bekövetkező változások mit jelentenek a támadási felület szempontjából.

Az üzleti levelezéssel kapcsolatos csalásokra irányuló kísérletek számos formát ölthetnek, ideértve a telefonhívásokat, SMS-eket, e-maileket vagy közösségi médián keresztül küldött üzeneteket. A hitelesítést kérő üzenetek hamisítása, valamint a személyek és cégek megszemélyesítése szintén a gyakran alkalmazott taktikák közé tartozik.

Megfelelő kezdő lépés a védelem terén az, ha megerősítik a könyvelési, belső ellenőrzési, bérszámfejtési és HR-részlegekre vonatkozó azon házirendeket, amelyek szabályozzák, hogyan kell reagálni a fizetési eszközök, banki ügyintézés vagy átutalások változásaival kapcsolatban érkező kérésekre vagy értesítésekre. Ha az alkalmazottak egy pillanatra megállnak, és félreteszik a házirendeket gyanúsan nem követő kéréseket, vagy kapcsolatba lépnek egy kérést küldő entitással a hivatalos webhelyén vagy képviselőin keresztül, azzal elképesztő veszteségektől kímélhetik meg a szervezetüket.

Az üzleti levelezéssel kapcsolatos csalásokra irányuló támadások jól szemléltetik, hogy miért kell minden munkahelyi beosztásra kiterjedően foglalkozni a kiberbiztonsági kockázatokkal a cégvezetők, vezetők, pénzügyi alkalmazottak, HR-vezetők és egyéb olyan alkalmazottak bevonásával, akik hozzáférhetnek az alkalmazottak nyilvántartásához, például TAJ számokhoz, adóbevallásokhoz, kapcsolattartási adatokhoz és ütemtervekhez, és természetesen az informatikával, megfelelőséggel és kiberbiztonsági kockázatokkal foglalkozó vezetők részvételével.

További információt olvashat az üzleti levelezéssel kapcsolatos csalásokról és az iráni fenyegető szereplőkről, kiegészítve Simeon Kakpovi vezető intelligens veszélyforrás-felderítési elemző megállapításaival.