Promena taktike podstiče nagli porast stepena ranjivosti poslovne e-pošte

Aktivnosti kibernetičkih kriminalaca oko ugrožavanja poslovne e-pošte se ubrzavaju. Korporacija Microsoft je zapazila značajan trend napadača u korišćenju platformi kao što je BulletProftLink, popularna platforma za kreiranje kampanja sa zlonamernim porukama industrijskih razmera. BulletProftLink prodaje sveobuhvatnu uslugu, uključujući predloške, hosting i automatizovane usluge za BEC. Napadači koji koriste ovaj CaaS model dobijaju akreditive i IP adresu žrtve.

BEC zlonamerni akteri zatim kupuju IP adrese od stambenih IP usluga koje se poklapaju sa lokacijom žrtve praveći IP proxy servere za stambene objekte koji omogućavaju kibernetičkim kriminalcima da prikriju svoje mesto porekla. Zatim, naoružani lokalizovanim prostorom za adrese koje uz korisnička imena i lozinke dodatno podupire njihove zlonamerne aktivnosti, BEC napadači mogu da prikriju kretanje, zaobiđu oznake „nemoguće putovanje“ i otvore mrežni prolaz za sprovođenje daljih napada. Korporacija Microsoft je zapazila da zlonamerni akteri u Aziji i pripadnici jedne istočnoevropske nacije najčešće primenjuju ovu taktiku.

Nemoguće putovanje je način otkrivanja koji se koristi za ukazivanje na mogućnost ugroženosti korisničkog naloga. Ova upozorenja označavaju fizička ograničenja koja ukazuju na to da se zadatak obavlja na dve lokacije, kada nema dovoljno vremena za putovanje sa jedne na drugu lokaciju.

Specijalizacija i konsolidacija u ovom sektoru ekonomije kibernetičkog kriminala može dovesti do povećanja korišćenja stambenih IP adresa radi izbegavanja otkrivanja. Stambene IP adrese mapirane na lokacijama velikog obima pružaju mogućnost i priliku kibernetičkim kriminalcima da prikupe veliku količinu ugroženih akreditiva i pristupaju nalozima. Zlonamerni akteri koriste IP/proxy usluge koje marketinški stručnjaci i druge osobe mogu koristiti za istraživanje radi povećanja razmera ovih napada. Na primer, jedan dobavljač IP usluga ima 100 miliona IP adresa koje se svake sekunde mogu rotirati ili menjati.

Dok zlonamerni akteri za phishing kao uslugu koriste Evil Proxy, Naked Pages i Caffeine radi sprovođenja phishing kampanja i dobavljanja ugroženih akreditiva, BulletProftLink nudi dizajn decentralizovanog mrežnog prolaza koji sadrži čvorišta javnih lanaca blokova Internet Computer protokola za hostovanje phishing i BEC sajtova, praveći još složeniju decentralizovanu veb ponudu koju je mnogo teže ometati. Usled distribucije veoma složene infrastrukture ovih sajtova i sve većeg rasta javnih lanaca blokova, teže ih je identifikovati i uskladiti radnje za njihovo otklanjanje. Iako phishing vezu možete ukloniti, sadržaj ostaje na mreži, a kibernetički kriminalci ponovo kreiraju novu vezu do postojećeg CaaS sadržaja.

Usled uspešnih BEC napada organizacije su izložene gubicima u vrednosti od više stotina miliona dolara godišnje. 2022. godine tim za oporavak imovine agencije FBI pokrenuo je lanac za zaustavljanje finansijskih prevara po osnovu 2.838 žalbi za BEC koje su se odnosile na domaće transakcije sa potencijalnim gubicima od preko 590 miliona USD.

Iako su finansijske posledice značajne, obimnija dugoročna šteta mogla bi podrazumevati krađu identiteta ukoliko su ugrožene informacije za identifikaciju krajnjeg korisnika (PII), kao i gubitak poverljivih podataka ako su u zlonamernom saobraćaju e-pošte i poruka izložene osetljiva prepiska ili intelektualna svojina.

Iako su zlonamerni akteri kreirali specijalizovane alatke za olakšavanje BEC napada, uključujući komplete za phishing i spiskove verifikovanih adresa e-pošte birajući kao mete rukovodioce u upravi, platne račune potencijalnih klijenata i druge specifične uloge, velika preduzeća mogu koristiti metode za sprečavanja napada i smanjenje rizika.

Na primer, smernice „odbacivanja“ potvrde poruka, izveštavanja i usaglašenosti na nivou domena (DMARC) pružaju najjaču zaštitu od lažne e-pošte, što obezbeđuje da se poruke čiji identitet nije potvrđen odbacuju na serveru pošte, čak i pre isporuke. Pored toga, DMARC izveštaji obezbeđuju organizaciji mehanizam pomoću kojeg je upoznata sa izvorom očiglednog falsifikata, što predstavlja informaciju koju inače ne bi dobila.

Iako se organizacije nekoliko godina bave upravljanjem potpuno udaljenom ili hibridnom radnom snagom, i dalje je potrebno preispitivanje svesti o bezbednosti u eri hibridnog rada. Budući da zaposleni sarađuju sa više dobavljača i izvođača, a samim tim dobijaju i više „prvi put viđenih“ e-poruka, neophodno je imati na umu šta za vašu površinu napada znače te promene ritma i prepiske na poslu.

Pokušaji BEC zlonamernih aktera mogu imati različite oblike – uključujući telefonske pozive, tekstualne poruke, e-poruke ili poruke na društvenim mrežama. U uobičajene taktike spadaju i lažno predstavljanje poruka kao zahteva za potvrdu identiteta i imitiranje osoba ili preduzeća.

Dobar prvi odbrambeni korak je jačanje smernica za računovodstvo, unutrašnju kontrolu, obračun plata ili sektore za ljudske resurse o tome kako odgovoriti na zahteve ili obaveštenja o promenama u vezi sa instrumentima plaćanja, bankovnim ili elektronskim transferom. Vraćanje korak unazad na uzgredne zahteve koji na sumnjiv način nisu u skladu sa smernicama, ili pak obraćanje pravnom licu koje je poslalo zahtev preko zakonitog sajta ili predstavnika, može sprečiti da organizacija pretrpi ogromne gubitke.

BEC napadi predstavljaju odličan primer za razumevanje razloga zbog kojih kibernetički rizik treba rešavati na višefunkcionalan način zajedno sa izvršnim organima i rukovodiocima, zaposlenima u sektoru finansija, menadžerima za ljudske resurse i drugim osobama koje imaju pristup podacima u evidenciji zaposlenih, kao što su brojevi socijalnog osiguranja, poreske prijave, kontakt informacije i rasporedi, za istim stolom sa službenicima za IT, usaglašenost i kibernetički rizik.

Saznajte više o BEC napadima i iranskim zlonamernim akterima uz uvide dobijene od Simeona Kakpovi, višeg analitičara za Microsoft informacije o pretnjama.