Η αλλαγή τακτικής τροφοδοτεί την άνοδο των παραβιάσεων στο επιχειρησιακό ηλεκτρονικό ταχυδρομείο

Η δραστηριότητα κυβερνοεγκληματιών γύρω από την παραβίαση του επιχειρησιακού ηλεκτρονικού ταχυδρομείου επιταχύνεται. Η Microsoft παρατηρεί μια σημαντική τάση στη χρήση πλατφορμών από εισβολείς, όπως το BulletProftLink, μια δημοφιλής πλατφόρμα για τη δημιουργία καμπανιών κακόβουλης αλληλογραφίας βιομηχανικής κλίμακας. Το BulletProftLink πουλά μια διατερματική υπηρεσία που περιλαμβάνει πρότυπα, φιλοξενία και αυτοματοποιημένες υπηρεσίες για BEC. Οι αντίπαλοι που χρησιμοποιούν αυτό το CaaS λαμβάνουν διαπιστευτήρια και τη διεύθυνση IP του θύματος.

Στη συνέχεια, οι παράγοντες απειλών BEC αγοράζουν διευθύνσεις IP από οικιακές υπηρεσίες IP που ταιριάζουν με την τοποθεσία του θύματος, δημιουργώντας οικιακούς διακομιστές μεσολάβησης IP που επιτρέπουν τους εγκληματίες του κυβερνοχώρου να κρύψουν την προέλευσή τους. Τώρα, οπλισμένοι με τοπικό χώρο διευθύνσεων για να υποστηρίξουν τις κακόβουλες δραστηριότητές τους εκτός από ονόματα χρήστη και κωδικούς πρόσβασης, οι εισβολείς BEC μπορούν να αποκρύψουν τις κινήσεις, να παρακάμψουν επισημάνσεις «ανέφικτης διάρκειας μετάβασης» και να ανοίξουν μια πύλη για περαιτέρω επιθέσεις. Η Microsoft έχει παρατηρήσει παράγοντες απειλών στην Ασία και σε ένα έθνος της Ανατολικής Ευρώπης που αναπτύσσουν συχνότερα αυτή την τακτική.

Η Ανέφικτη διάρκεια μετάβασης είναι ένας εντοπισμός που χρησιμοποιείται για να υποδείξει ότι ένας λογαριασμός χρήστη μπορεί να έχει παραβιαστεί. Αυτές οι ειδοποιήσεις επισημαίνουν φυσικούς περιορισμούς που υποδεικνύουν ότι μια εργασία εκτελείται σε δύο τοποθεσίες, χωρίς τον κατάλληλο χρόνο που απαιτείται για τη μεταφορά από τη μία τοποθεσία στην άλλη.

Η εξειδίκευση και η ενοποίηση αυτού του τομέα της οικονομίας του κυβερνοεγκλήματος θα μπορούσε να κλιμακώσει τη χρήση οικιακών διευθύνσεων IP για την αποφυγή εντοπισμού. Οι οικιακές διευθύνσεις IP που έχουν αντιστοιχιστεί σε τοποθεσίες σε κλίμακα παρέχουν τη δυνατότητα και την ευκαιρία στους εγκληματίες του κυβερνοχώρου να συγκεντρώσουν μεγάλους όγκους παραβιασμένων διαπιστευτηρίων και να αποκτήσουν πρόσβαση σε λογαριασμούς. Οι παράγοντες απειλών χρησιμοποιούν υπηρεσίες IP/διακομιστή μεσολάβησης που οι υπεύθυνοι αγοράς και άλλοι μπορούν να χρησιμοποιήσουν για έρευνα με σκοπό την κλιμάκωση αυτών των επιθέσεων. Μια υπηρεσία παροχής IP, για παράδειγμα, έχει 100 εκατομμύρια διευθύνσεις IP που μπορούν να εναλλάσσονται ή να αλλάζουν κάθε δευτερόλεπτο.

Ενώ οι παράγοντες απειλών χρησιμοποιούν το ηλεκτρονικό "ψάρεμα" ως υπηρεσία, όπως Evil Proxy, Naked Pages και Caffeine για να αναπτύξουν εκστρατείες ηλεκτρονικού "ψαρέματος" και να αποκτήσουν παραβιασμένα διαπιστευτήρια, το BulletProftLink προσφέρει μια αποκεντρωμένη σχεδίαση πύλης, η οποία περιλαμβάνει δημόσιους κόμβους αλυσίδας μπλοκ του Υπολογιστή Internet για τη φιλοξενία τοποθεσιών ηλεκτρονικού "ψαρέματος" και BEC, δημιουργώντας μία ακόμα πιο εξελιγμένη αποκεντρωμένη προσφορά web που είναι πολύ πιο δύσκολο να διαταραχθεί. Η κατανομή της υποδομής αυτών των τοποθεσιών web σε όλη την πολυπλοκότητα και την εξελισσόμενη ανάπτυξη των δημόσιων αλυσίδων μπλοκ καθιστά πιο περίπλοκο τον εντοπισμό τους και την ευθυγράμμιση των ενεργειών κατάργησης. Ενώ μπορείτε να καταργήσετε έναν σύνδεσμο ηλεκτρονικού ψαρέματος, το περιεχόμενο παραμένει online και οι εγκληματίες του κυβερνοχώρου επιστρέφουν για να δημιουργήσουν έναν νέο σύνδεσμο προς το υπάρχον περιεχόμενο CaaS.

Οι επιτυχείς επιθέσεις BEC κοστίζουν στους οργανισμούς εκατοντάδες εκατομμύρια δολάρια ετησίως. Το 2022, η Ομάδα Ανάκτησης Περιουσιακών Στοιχείων του FBI ξεκίνησε το Financial Fraud Kill Chain για 2.838 καταγγελίες BEC που αφορούσαν εγχώριες συναλλαγές με πιθανές απώλειες άνω των 590 εκατομμυρίων δολαρίων ΗΠΑ ($).

Αν και οι οικονομικές επιπτώσεις είναι σημαντικές, οι ευρύτερες μακροπρόθεσμες ζημίες μπορεί να περιλαμβάνουν κλοπή ταυτότητας εάν παραβιαστούν αναγνωρίσιμα προσωπικά στοιχεία (PII) ή απώλεια εμπιστευτικών δεδομένων εάν εκτεθεί ευαίσθητη αλληλογραφία ή πνευματική ιδιοκτησία σε κακόβουλη κυκλοφορία email και μηνυμάτων.

Αν και οι φορείς απειλών έχουν δημιουργήσει εξειδικευμένα εργαλεία για τη διευκόλυνση του BEC, συμπεριλαμβανομένων κιτ ηλεκτρονικού "ψαρέματος" και λίστες επαληθευμένων διευθύνσεων email που στοχεύουν ηγέτες του C-Suite, δυνητικούς πελάτες πληρωτέους λογαριασμούς και άλλους συγκεκριμένους ρόλους, οι επιχειρήσεις μπορούν να χρησιμοποιήσουν μεθόδους για την πρόληψη επιθέσεων και τον μετριασμό του κινδύνου.

Για παράδειγμα, μια πολιτική «απόρριψης» για έλεγχο ταυτότητας, αναφορά και συμμόρφωση μηνυμάτων βάσει τομέα (DMARC) παρέχει την ισχυρότερη προστασία έναντι πλαστών μηνυμάτων, διασφαλίζοντας ότι τα μηνύματα που δεν έχουν επικυρωθεί θα απορρίπτονται στον διακομιστή αλληλογραφίας, ακόμη και πριν από την παράδοση. Επιπλέον, οι αναφορές DMARC παρέχουν έναν μηχανισμό ώστε ένας οργανισμός να ενημερώνεται για την πηγή μιας προφανούς πλαστογραφίας, πληροφορίες που κανονικά δεν θα λάμβανε.

Παρόλο που οι οργανισμοί έχουν λίγα χρόνια στη διαχείριση του πλήρως απομακρυσμένου ή υβριδικού εργατικού δυναμικού, η επανεξέταση της ευαισθητοποίησης σχετικά με την ασφάλεια στην εποχή της υβριδικής εργασίας εξακολουθεί να είναι απαραίτητη. Επειδή οι εργαζόμενοι εργάζονται με περισσότερους προμηθευτές και εργολάβους, με αποτέλεσμα να λαμβάνουν περισσότερα μηνύματα ηλεκτρονικού ταχυδρομείου "πρώτης εμφάνισης", είναι επιτακτική ανάγκη να γνωρίζετε τι σημαίνουν αυτές οι αλλαγές στους ρυθμούς εργασίας και την αλληλογραφία για την περιοχή ευάλωτη σε επιθέσεις.

Οι προσπάθειες BEC των παραγόντων απειλών μπορούν να λάβουν πολλές μορφές - συμπεριλαμβανομένων τηλεφωνικών κλήσεων, μηνυμάτων κειμένου, email ή μηνυμάτων κοινωνικών μέσων. Η πλαστογράφηση μηνυμάτων αιτήματος ελέγχου ταυτότητας και η πλαστοπροσωπία ατόμων και εταιρειών είναι επίσης συνήθεις τακτικές.

Ένα καλό πρώτο αμυντικό βήμα είναι η ενίσχυση των πολιτικών για τα τμήματα λογιστικής, εσωτερικού ελέγχου, μισθοδοσίας ή ανθρώπινου δυναμικού σχετικά με τον τρόπο απόκρισης όταν λαμβάνονται αιτήματα ή ειδοποιήσεις για αλλαγές σχετικά με μέσα πληρωμής ή τραπεζικά εμβάσματα. Η αποχή από αιτήματα που με ύποπτο τρόπο δεν ακολουθούν πολιτικές ή η επικοινωνία με μια αιτούσα οντότητα μέσω της νόμιμης τοποθεσίας και των εκπροσώπων της, μπορεί να σώσει τους οργανισμούς από σημαντικές απώλειες.

Οι επιθέσεις BEC προσφέρουν ένα εξαιρετικό παράδειγμα του γιατί ο κίνδυνος στον κυβερνοχώρο πρέπει να αντιμετωπίζεται με διαλειτουργικό τρόπο με στελέχη και ηγέτες, υπαλλήλους οικονομικών, διευθυντές ανθρώπινων πόρων και άλλους με πρόσβαση σε αρχεία εργαζομένων όπως αριθμούς κοινωνικής ασφάλισης, φορολογικές δηλώσεις, στοιχεία επικοινωνίας και χρονοδιαγράμματα, στο τραπέζι μαζί με τους υπεύθυνους πληροφορικής, συμμόρφωσης και κινδύνων στον κυβερνοχώρο.

Μάθετε περισσότερα για το BEC και τους ιρανικούς παράγοντες απειλής με πληροφορίες από τον Simeon Kakpovi, Senior Threat Intelligence Analyst.