Атака №3: Компрометиране на бизнес имейл

Обобщение- Компрометиране на бизнес имейл

Business Email Compromise (BEC)

Как работи атаката

Business Email Compromise не изглежда като атака.
Тя изглежда като бизнес.

BEC използва реални имейл разговори, реални процеси и реален авторитет. Няма зловреден файл, няма очевиден индикатор за компрометиране и често няма ясни червени флагове.

Атакуващите получават достъп до легитимна пощенска кутия. или убедително се представят за такава. След това наблюдават. Разбират как се одобряват плащания, как комуникират доставчиците, как се създава усещане за спешност.

Когато моментът е подходящ, те се намесват.
Платежно нареждане се променя.
Фактура се „актуализира“.
Изисква се чувствителна информация.

Всичко изглежда нормално. Докато средствата не изчезнат.

Реални случаи

Business Email Compromise (BEC) използва имейли, които изглеждат като легитимни бизнес инструкции, за да подведе служители да наредят плащане или да променят банкови данни. Атаката често разчита повече на доверие и слаб процес за потвърждение, отколкото на зловреден софтуер.

Toyota Boshoku (2019)

Сектор: Автомобилно производство

Как е започнал инцидентът?
Европейско дружество на Toyota Boshoku получава измамни платежни инструкции от злонамерена трета страна. Компанията не разкрива дали е бил компрометиран реален имейл акаунт, или е използвана имитация на подател.

Какво е било компрометирано?

• процесът за проверка и одобрение на плащания;
• приблизително 4 милиарда японски йени, или около 37 милиона щатски долара към момента на инцидента.

Как се е развила атаката?
Служителите изпълняват измамните инструкции, преди компанията да установи случая. Toyota Boshoku уведомява разследващите органи и започва действия за ограничаване на загубата и възстановяване на средствата.

Какво би могло да ограничи щетите?

• независимо потвърждение при промяна на банкови данни;
• двойно одобрение на големи преводи;
• проверка чрез предварително известен телефонен номер;
• наблюдение за необичайни платежни инструкции.

FACC (2016)

Сектор: Авиационно производство

Как е започнал инцидентът?
FACC става жертва на т.нар. Fake President Fraud — измама, при която нападателите се представят за висш ръководител и нареждат спешни международни преводи.

Какво е било компрометирано?

• вътрешният процес за финансово одобрение;
• доверието в привидно легитимни управленски инструкции;
• преводи на обща стойност около 52,9 милиона евро. От тях приблизително 10,8 милиона евро са блокирани и по-късно възстановени.

Как се е развила атаката?
Служители изпълняват серия от неоторизирани преводи. След инцидента FACC въвежда допълнителни контроли в процесите за плащане и покупки.

Какво би могло да ограничи щетите?

• разделяне на отговорностите при плащания;
• задължително потвърждение извън имейл;
• допълнително одобрение над определен финансов праг;
• обучение за разпознаване на спешни и необичайни заявки.

Какво показват тези случаи?

При Toyota Boshoku измамни платежни инструкции водят до загуба от около 4 милиарда йени. При FACC имитация на висш ръководител води до преводи за приблизително 52,9 милиона евро, част от които впоследствие са възстановени.

И двата случая показват, че за успешна BEC атака невинаги е необходим зловреден прикачен файл. Понякога са достатъчни убедително изглеждаща финансова инструкция и липса на независимо потвърждение.

Кого таргетира най-често

BEC следва парите и властта за вземане на решения.
Колкото по-голям авторитет носи един имейл, толкова по-ценен става той.

Роли

• финансови и счетоводни екипи

• изпълнително и висше ръководство

• HR отдели

• отдели по доставки и управление на партньори

• правни и оперативни екипи

Сектори

• професионални услуги

• производство и логистика

• строителство и недвижими имоти

• здравеопазване и образование

• публичен сектор

Тип организации

• компании с чести банкови преводи

• организации със сложни вериги на доставчици

• среди със слабо разделение на отговорностите

• екипи в растеж или реорганизация

BEC процъфтява там, където доверието замества проверката.

На какво разчита атаката

BEC е успешна, защото се вписва естествено в начина, по който работят бизнесите.

Човешки фактор

• доверие към авторитет

• спешност и натиск

• страх от забавяне на плащане

• рутинно изпълнение на задачи

• приемане на легитимност

Технически пропуски

• компрометирани имейл акаунти

• липса на MFA върху имейл

• ограничен мониторинг на пощенска активност

• липса на поведенческа детекция

Процесни слабости

• слаби контроли при промяна на банкови данни

• липса на извън-канална верификация

• неясни ескалационни пътища

• недостатъчно разделение на задълженията

BEC работи, когато процесните предположения не се поставят под въпрос.

Как се хваща

BEC рядко се засича само чрез технически инструменти.
Често се разпознава, защото някой усеща, че „нещо не е наред“.

Какво може да забележи потребителят

• необичайна спешност при плащане

• последна промяна на банкови детайли

• искания, които заобикалят стандартния процес

• леко различен тон или формулировка

Какво вижда IT екипът

• достъп до пощенска кутия от нови локации

• правила за пренасочване или манипулация на входяща поща

• необичайни логвания

• identity аномалии

Какво вижда SOC

• нетипично имейл поведение

• индикатори за компрометиран акаунт

• подозрителни модели на автентикация

• връзки с известни BEC кампании

Откриването на BEC зависи силно от контекст.

Как се ограничава въздействието

При BEC времето пряко влияе върху финансовата загуба.

Приоритетът е спиране на транзакцията и възстановяване на контрол върху идентичността.

• незабавно спиране или отмяна на плащания

• уведомяване на банки и финансови институции

• ресетване на креденшъли и прекратяване на сесии

• запазване на доказателства и логове

• информиране на правен, финансов и управленски екип

Какво не помага:

• приемане, че искането е легитимно

• забавяне на проверката

• тихо „вътрешно“ решаване на проблема

BEC изисква координирана реакция между сигурност и бизнес екипи.

Какво реално помага

BEC не може да бъде спряна само с технически контрол.

Необходима е дисциплина в начина, по който се вземат бизнес решения.

Хора

• обучения за злоупотреба с авторитет

• насърчаване на поставяне под въпрос на необичайни искания

• ясни канали за ескалация

Процеси

• задължителна извън-канална верификация при промяна на плащане

• разделение на отговорности

• документирани response playbooks

• регулярни процесни одити

Технологии

• MFA върху всички имейл акаунти

• имейл защита и поведенческа детекция

• identity мониторинг

• интеграция със SOC

Силните процеси намаляват въздействието на BEC повече от който и да е инструмент.

Чести митове

BEC често се разбира погрешно.

„Имейл защитата блокира такива атаки“
„Щом е от реален акаунт, значи е легитимно“
„Имаме ясен процес за одобрение“
„Това се случва само на големи компании“

В действителност BEC засяга организации от всякакъв размер и остава сред най-скъпите типове кибератаки в световен мащаб.

Атака №1: Фишинг и социално инженерство

Атака №2: Злоупотреба с акаунти и превземане на достъп

Следва: Атака №4 – Ransomware