Değişen taktikler, iş e-postaların ele geçirilmesindeki artışı körüklüyor

İş e-postalarının ele geçirilmesine yönelik siber suç faaliyetleri giderek hız kazanıyor. Microsoft, saldırganların, endüstriyel ölçekte kötü amaçlı posta kampanyaları oluşturmak için BulletProofLink gibi popüler platformları kullanımında önemli bir artış gözlemledi. BulletProftLink; BEC için şablonlar, barındırma ve otomatikleştirilmiş hizmetler dahil olmak üzere uçtan uca bir hizmet satar. Bu CaaS'ı kullanan saldırganlar, kurbanın kimlik bilgilerini ve IP adresini alır.

BEC tehdit aktörleri daha sonra kurbanın konumuyla eşleşen konut IP hizmetlerinden IP adresleri satın alarak siber suçluların kökenlerini maskelemelerini sağlayan konut IP proxy'leri oluşturur. Bunun ardından kullanıcı adları ve şifrelere ek olarak kötü niyetli faaliyetlerini desteklemek için yerelleştirilmiş adres alanına da sahip olan BEC saldırganları; hareketlerini gizleyebilir, "imkansız yolculuk" bayraklarını atlatabilir ve daha fazla saldırı gerçekleştirmek için bir ağ geçidi açabilirler. Microsoft, bu taktiğin en sık Asya ve bir Doğu Avrupa ülkesindeki tehdit aktörleri tarafından kullanıldığını gözlemlemiştir.

İmkansız yolculuk, bir kullanıcı hesabının ele geçirilmiş olabileceğini belirtmek için kullanılan bir tespittir. Bu uyarılar, bir görevin, bir konumdan diğerine seyahat etmesine yetecek kadar süre olmadığı halde iki konumda birden gerçekleştirildiğini gösteren fiziksel kısıtlamaları işaretler.

Bu siber suç ekonomisi sektöründe sağlanan uzmanlaşma ve konsolidasyon, tespit edilmekten kaçınmak için konut IP adreslerinin kullanımını artırabilir. Ölçeklendirilmiş konumlarla eşlenmiş konut IP adresleri sayesinde siber suçlular, çok sayıda kimlik bilgisini ele geçirme ve çok sayıda hesaba erişme fırsatını elde eder. Tehdit aktörleri, bu saldırıları ölçeklendirmek için pazarlamacıların ve diğerlerinin araştırma amacıyla kullanabileceği IP/proxy hizmetlerini kullanır. Örneğin bir IP hizmet sağlayıcısının her saniye döndürülebilen veya değiştirilebilen 100 milyon IP adresi vardır.

Tehdit aktörleri; kimlik avı kampanyaları düzenlemek ve kimlik bilgilerini ele geçirmek için Evil Proxy, Naked Pages ve Caffeine gibi hizmet olarak kimlik avı servislerini kullanırken BulletProftLink; kimlik avı ve BEC sitelerini barındırmak için Internet Computer halka açık blok zinciri düğümlerini içeren dağınık bir ağ geçidi tasarımı sunarak bozulması çok daha zor olan, daha da karmaşık bir merkezi olmayan web teklifi oluşturur. Bu sitelerin altyapısını, karmaşık ve giderek büyüyen halka açık blok zincirleri arasında dağıtmak, tanımlanmalarını ve alınan önlemlerin hizalanmasını daha karmaşık hale getirir. Bir kimlik avı bağlantısını kaldırabilirsiniz ancak içerik çevrimiçi kalır ve siber suçlular, mevcut CaaS içeriğine yeni bir bağlantı oluşturmak için geri döner.

Başarılı BEC saldırıları, kurumlara yılda yüz milyonlarca dolara mal oluyor. Bu yüzden 2022'de FBI’ın Varlık Kurtarma Ekibi, potansiyel kayıpları 590 milyon USD’den fazla olan 2.838 BEC şikayetiyle ilgili Finansal Dolandırıcılık Kesme Zincirini başlattı.

Finansal sonuçlar önemli olsa da uzun vadeli, daha geniş çaplı zararlar arasında; kişisel verilerin (PII) ele geçirilmesi halinde kimlik hırsızlığı ya da hassas yazışmalar veya fikri mülkiyetlerin, kötü niyetli e-posta ve mesaj trafiğinde ifşa edilmesi halinde gizli verilerin kaybedilmesi yer alabilir.

Her ne kadar tehdit aktörleri BEC'i kolaylaştırmak için kimlik avı kitleri ve C-Suite liderlerini, potansiyel borç hesaplarını ve diğer belirli rolleri hedefleyen doğrulanmış e-posta adresleri listeleri gibi özel araçlar yaratmış olsalar da işletmeler, saldırıları önleyecek ve riski azaltacak yöntemler kullanabilirler.

Örneğin etki alanı tabanlı ileti doğrulama, raporlama ve uygunluk (DMARC) politikası olan "reddet", sahte e-postalara karşı en güçlü korumayı sağlar ve kimliği doğrulanmamış iletilerin, teslim dahi edilmeden önce posta sunucusunda reddedilmesini sağlar. Ayrıca DMARC raporları, kurumların, belirgin sahtekarlıkların kaynağını öğrenebilmesini sağlar ki bu, normalde almayacakları bir bilgidir.

Kurumlar hibrit veya tamamen uzaktan çalışan iş gücünü yönetmeye başlayalı birkaç yıl olmasına rağmen hala hibrit çalışma çağında güvenlik farkındalığını yeniden düşünmemiz gerekiyor. Çalışanlar daha fazla satıcı ve yüklenici ile çalıştığından ve bu sebeple daha fazla sayıda "ilk kez görülen" e-posta aldığından, çalışma ritimlerindeki ve yazışmalardaki bu değişikliklerin saldırı yüzeyiniz için ne anlama geldiğinin bilincinde olmanız gerekir.

Tehdit aktörleri; telefon aramaları, kısa mesajlar, e-postalar veya sosyal medya mesajları dahil olmak üzere pek çok farklı şekilde BEC girişiminde bulunabilir. Kimlik doğrulama talebi mesajlarını veya bireyleri ve şirketleri taklit etmek de yaygın kullanılan taktiklerdir.

Muhasebe, iç kontrol, bordro veya insan kaynakları departmanlarının; ödeme araçları, bankacılık veya banka havaleleri ile ilgili değişiklik talepleri veya bildirimleri alındığında nasıl yanıt verileceğine ilişkin politikalarını güçlendirmek, iyi bir ilk savunma adımıdır. Şüpheli bir şekilde politikalara uymayan talepleri bekletmek için geri adım atmak veya talepte bulunan kurumlarla meşru sitesi ve temsilcileri aracılığıyla iletişime geçmek, kurumları sarsıcı kayıplardan kurtarabilir.

BEC saldırıları; siber riskin neden yöneticiler ve liderler, finans çalışanları, insan kaynakları yöneticileri ve Sosyal Güvenlik numaraları, vergi beyannameleri, iletişim bilgileri ve çizelgeler gibi çalışan kayıtlarına erişimi olan diğer kişilerle birlikte BT, uyum ve siber risk görevlilerinin de masada olduğu, tüm işlevleri kapsayacak şekilde ele alınması gerektiğine dair harika bir örnek sunmaktadır.

Kıdemli Tehdit Analisti Simeon Kakpovi'nin içgörüleriyle BEC ve İranlı tehdit aktörleri hakkında daha fazla bilgi edinin.