Атака №3: Компрометиране на бизнес имейл

Обобщение- Компрометиране на бизнес имейл

Business Email Compromise (BEC)

Как работи атаката

Business Email Compromise не изглежда като атака.
Тя изглежда като бизнес.

BEC използва реални имейл разговори, реални процеси и реален авторитет. Няма зловреден файл, няма очевиден индикатор за компрометиране и често няма ясни червени флагове.

Атакуващите получават достъп до легитимна пощенска кутия. или убедително се представят за такава. След това наблюдават. Разбират как се одобряват плащания, как комуникират доставчиците, как се създава усещане за спешност.

Когато моментът е подходящ, те се намесват.
Платежно нареждане се променя.
Фактура се „актуализира“.
Изисква се чувствителна информация.

Всичко изглежда нормално. Докато средствата не изчезнат.

Кого таргетира най-често

BEC следва парите и властта за вземане на решения.
Колкото по-голям авторитет носи един имейл, толкова по-ценен става той.

Роли

• финансови и счетоводни екипи

• изпълнително и висше ръководство

• HR отдели

• отдели по доставки и управление на партньори

• правни и оперативни екипи

Сектори

• професионални услуги

• производство и логистика

• строителство и недвижими имоти

• здравеопазване и образование

• публичен сектор

Тип организации

• компании с чести банкови преводи

• организации със сложни вериги на доставчици

• среди със слабо разделение на отговорностите

• екипи в растеж или реорганизация

BEC процъфтява там, където доверието замества проверката.

На какво разчита атаката

BEC е успешна, защото се вписва естествено в начина, по който работят бизнесите.

Човешки фактор

• доверие към авторитет

• спешност и натиск

• страх от забавяне на плащане

• рутинно изпълнение на задачи

• приемане на легитимност

Технически пропуски

• компрометирани имейл акаунти

• липса на MFA върху имейл

• ограничен мониторинг на пощенска активност

• липса на поведенческа детекция

Процесни слабости

• слаби контроли при промяна на банкови данни

• липса на извън-канална верификация

• неясни ескалационни пътища

• недостатъчно разделение на задълженията

BEC работи, когато процесните предположения не се поставят под въпрос.

Как се хваща

BEC рядко се засича само чрез технически инструменти.
Често се разпознава, защото някой усеща, че „нещо не е наред“.

Какво може да забележи потребителят

• необичайна спешност при плащане

• последна промяна на банкови детайли

• искания, които заобикалят стандартния процес

• леко различен тон или формулировка

Какво вижда IT екипът

• достъп до пощенска кутия от нови локации

• правила за пренасочване или манипулация на входяща поща

• необичайни логвания

• identity аномалии

Какво вижда SOC

• нетипично имейл поведение

• индикатори за компрометиран акаунт

• подозрителни модели на автентикация

• връзки с известни BEC кампании

Откриването на BEC зависи силно от контекст.

Как се ограничава въздействието

При BEC времето пряко влияе върху финансовата загуба.

Приоритетът е спиране на транзакцията и възстановяване на контрол върху идентичността.

• незабавно спиране или отмяна на плащания

• уведомяване на банки и финансови институции

• ресетване на креденшъли и прекратяване на сесии

• запазване на доказателства и логове

• информиране на правен, финансов и управленски екип

Какво не помага:

• приемане, че искането е легитимно

• забавяне на проверката

• тихо „вътрешно“ решаване на проблема

BEC изисква координирана реакция между сигурност и бизнес екипи.

Какво реално помага

BEC не може да бъде спряна само с технически контрол.

Необходима е дисциплина в начина, по който се вземат бизнес решения.

Хора

• обучения за злоупотреба с авторитет

• насърчаване на поставяне под въпрос на необичайни искания

• ясни канали за ескалация

Процеси

• задължителна извън-канална верификация при промяна на плащане

• разделение на отговорности

• документирани response playbooks

• регулярни процесни одити

Технологии

• MFA върху всички имейл акаунти

• имейл защита и поведенческа детекция

• identity мониторинг

• интеграция със SOC

Силните процеси намаляват въздействието на BEC повече от който и да е инструмент.

Чести митове

BEC често се разбира погрешно.

„Имейл защитата блокира такива атаки“
„Щом е от реален акаунт, значи е легитимно“
„Имаме ясен процес за одобрение“
„Това се случва само на големи компании“

В действителност BEC засяга организации от всякакъв размер и остава сред най-скъпите типове кибератаки в световен мащаб.

Атака №1: Фишинг и социално инженерство

Атака №2: Злоупотреба с акаунти и превземане на достъп

Следва: Атака №4 – Ransomware