비즈니스 전자 메일 침해의 급증을 초래하는 전략 변화

비즈니스 전자 메일 침해를 둘러싼 사이버 범죄 활동이 가속화되고 있습니다. Microsoft는 산업 규모의 악성 메일 캠페인을 만드는 데 널리 사용되는 플랫폼인 BulletProftLink와 같은 플랫폼을 공격자가 사용하는 중요한 추세를 관찰했습니다. BulletProftLink에서는 BEC용 템플릿, 호스팅, 자동화 서비스를 포함한 엔드투엔드 서비스를 판매합니다. 이 CaaS를 사용하는 악의적인 사용자는 피해자의 자격 증명과 IP 주소를 얻게 됩니다.

그런 다음 BEC 위협 행위자는 피해자의 위치와 일치하는 주거용 IP 서비스에서 IP 주소를 구입하여 사이버 범죄자가 자신의 출처를 숨길 수 있는 주거용 IP 프록시를 만듭니다. 이제 BEC 공격자는 사용자 이름과 암호 외에도 악의적인 활동을 지원하기 위해 현지화된 주소 공간으로 무장하여 움직임을 숨기고 "불가능한 이동" 플래그를 우회하며 게이트웨이를 열어 추가 공격을 수행할 수 있습니다. Microsoft는 아시아와 동유럽 국가에서 위협 행위자들이 이 전술을 가장 자주 배포하는 것을 관찰했습니다.

불가능한 이동은 사용자 계정이 손상되었을 수 있음을 나타내는 데 사용되는 탐지입니다. 이러한 경고는 한 위치에서 다른 위치로 이동하는 데 적절한 시간이 걸리지 않고도 두 위치에서 작업이 수행되고 있음을 나타내는 물리적 제한을 나타냅니다.

사이버 범죄 경제  부문의 전문 기술 역량 및 통합에서는 탐지를 회피하기 위해 주거용 IP 주소의 사용이 확대될 수 있습니다. 위치에 대규모로 매핑된 주거용 IP 주소는 사이버 범죄자가 대량의 손상된 자격 증명을 수집하고 계정에 액세스할 수 있는 능력과 기회를 제공합니다. 위협 행위자는 마케팅 담당자와 다른 사람들이 이러한 공격을 확장하기 위한 연구에 사용할 수 있는 IP/프록시 서비스를 사용하고 있습니다. 예를 들어, 한 IP 서비스 공급자는 매초마다 교체되거나 변경될 수 있는 1억 개의 IP 주소를 보유하고 있습니다.

위협 행위자가 Evil Proxy, Naked Pages, Caffeine과 같은 서비스형 피싱을 사용하여 피싱 캠페인을 배포하고 손상된 자격 증명을 얻는 반면, BulletProftLink는 피싱 및 BEC 사이트를 호스트하기 위한 인터넷 컴퓨터 퍼블릭 블록체인 노드를 포함하는 분산형 게이트웨이 설계를 제공하여 파괴하기 훨씬 더 어려운 더욱 정교한 분산형 웹 서비스를 만듭니다. 퍼블릭 블록체인의 복잡성과 발전하는 성장 전반에 이러한 사이트의 인프라를 분산시키면 사이트를 식별하고 제거 조치를 조정하는 것이 더욱 복잡해집니다. 피싱 링크를 제거할 수는 있지만 콘텐츠는 온라인 상태로 유지되며 사이버 범죄자가 다시 돌아와 기존 CaaS 콘텐츠에 대한 새 링크를 만들 수 있습니다.

성공적인 BEC 공격으로 인해 조직에서는 매년 수억 달러의 비용을 지출하게 됩니다. 2022년 FBI의 Recovery Asset Team은 잠재적 손실액이 5억 9천만 달러 이상인 국내 거래와 관련된 2,838건의 BEC 불만 사항에 대해 금융 사기 킬 체인을 시작했습니다.

금전적 영향은 상당하지만 더 광범위한 장기적인 피해에는 PII(개인 식별 정보)가 손상된 경우의 신분 도용 또는 민감한 서신이나 지적 재산이 악의적인 전자 메일 및 메시지 트래픽에 노출된 경우의 기밀 데이터의 손실을 포함할 수 있습니다.

위협 행위자가 BEC를 용이하게 하도록 C-Suite 리더, 지급 계정 리드, 기타 특정 역할을 표적으로 하는 피싱 키트 및 검증된 전자 메일 주소 목록을 포함하고 있는 특수 도구를 만들었지만 기업에서는 공격을 사전에 차단하고 위험을 완화하는 방법을 사용할 수 있습니다.

예를 들어, "거부"라는 DMARC(도메인 기반 메시지 인증, 보고 및 적합성) 정책은 스푸핑된 전자 메일에 대해 가장 강력한 보호를 제공하여 인증되지 않은 메시지가 배달되기 전에도 메일 서버에서 거부되도록 합니다. 또한 DMARC 보고서는 조직이 일반적으로 수신하지 않는 정보인 명백한 위조의 출처를 알 수 있도록 메커니즘을 제공합니다.

조직이 완전한 원격 또는 하이브리드 인력을 관리하는 데 몇 년이 걸리더라도 하이브리드 작업 시대의 보안 인식을 재고할 필요가 있습니다. 직원들이 더 많은 공급 업체 및 계약 업체와 협력함으로써 “처음 본” 전자 메일을 더 많이 받게 되므로 이러한 작업 리듬 및 대응 방식의 변화가 공격 표면에 어떤 의미를 갖게 되는지 알아야 합니다.

위협 행위자의 BEC 시도는 전화 통화, 문자 메시지, 전자 메일, 소셜 미디어 메시지 등 다양한 형태를 취할 수 있습니다. 인증 요청 메시지를 스푸핑하고 개인과 회사를 사칭하는 것도 일반적인 전술입니다.

유용한 첫 번째 방어 단계는 결제 방법, 은행 또는 전신 송금과 관련된 변경 요청이나 변경 알림을 받을 때 어떻게 대응해야 하는지에 대한 회계, 내부 통제, 급여 또는 인사 부서의 정책을 강화하는 것입니다. 의심스러울 정도로 사이드라인 정책을 따르지 않는 요청을 무시하거나 합법적인 사이트 및 담당자를 통해 요청 기관에 연락하면 조직이 엄청난 손실을 피할 수 있습니다.

BEC 공격은 임원 및 리더, 재무 직원, 인사 담당자 그리고 사회 보장 번호, 세금 계산서, 연락처 정보, 일정과 같은 직원 기록에 액세스할 수 있는 기타 사람들과 함께 IT, 컴플라이언스, 사이버 위험 담당자가 테이블에서 사이버 위험을 부서간 업무 방식으로 해결해야 하는 이유를 보여 주는 훌륭한 예를 제공합니다.

수석 위협 인텔리전스 분석가인  Simeon Kakpovi의 인사이트를 통해 BEC 및  이란 위협 행위자 에 대해 자세히 알아보세요.