Veranderingen in tactiek dragen bij aan de toename van inbreuk op zakelijke e-mail

Cybercriminele activiteiten rond inbreuken op zakelijke e-mail nemen toe. Microsoft ziet een belangrijke trend in het gebruik van platforms door aanvallers, zoals BulletProftLink, een populair platform voor het maken van kwaadaardige e-mailcampagnes op industriële schaal. BulletProftLink verkoopt een end-to-end service inclusief sjablonen, hosting en geautomatiseerde services voor BEC. Criminelen die deze CaaS gebruiken, ontvangen referenties en het IP-adres van het slachtoffer.

BEC-bedreigingsactoren kopen vervolgens IP-adressen van IP-services die overeenkomen met de locatie van het slachtoffer en creëren zo IP-proxy's waarmee cybercriminelen hun herkomst kunnen verbergen. BEC-aanvallers kunnen nu, gewapend met gelokaliseerde adresruimte om hun schadelijke activiteiten te ondersteunen, naast gebruikersnamen en wachtwoorden, bewegingen verhullen, vlaggen voor 'onmogelijk traject' omzeilen en een gateway openen om verdere aanvallen uit te voeren. Microsoft heeft opgemerkt dat bedreigingsactoren in Azië en een Oost-Europees land deze tactiek het vaakst toepassen.

Onmogelijk traject is een detectie die wordt gebruikt om aan te geven dat een gebruikersaccount mogelijk in verkeerde handen is gevallen. Deze waarschuwingen markeren fysieke beperkingen die aangeven dat een taak op twee locaties wordt uitgevoerd, zonder de juiste hoeveelheid tijd om van de ene locatie naar de andere te komen.

De specialisatie en consolidatie van deze sector van de cybereconomie zou het gebruik van IP-adressen in woonwijken kunnen doen toenemen om detectie te omzeilen. IP-adressen in woonwijken die zijn gekoppeld aan locaties op grote schaal, bieden cybercriminelen de mogelijkheid om grote hoeveelheden gecompromitteerde referenties en toegangsaccounts te verzamelen. Bedreigingsactoren gebruiken IP-/proxyservices die marketeers en anderen voor onderzoek kunnen gebruiken om deze aanvallen uit te breiden. Eén IP-serviceprovider heeft bijvoorbeeld honderd miljoen IP-adressen die op elk moment kunnen worden gedraaid of gewijzigd.

Terwijl bedreigingsactoren phishing als een dienst, zoals Evil Proxy, Naked Pages en Caffeine, gebruiken om phishingcampagnes uit te voeren en gecompromitteerde referenties te verkrijgen, biedt BulletProftLink een gedecentraliseerd gateway-ontwerp, dat openbare blockchain-knooppunten van Internet Computer omvat om phishing- en BEC-sites te hosten, waardoor een nog geavanceerder gedecentraliseerd webaanbod ontstaat dat veel moeilijker te ontregelen is. Het verspreiden van de infrastructuur van deze sites over de complexiteit en de toenemende groei van openbare blockchains maakt het identificeren ervan, en het afstemmen van de acties van de takedown, ingewikkelder. Hoewel je een phishing-link kunt verwijderen, maar de inhoud blijft online en cybercriminelen keren terug om een nieuwe link naar bestaande CaaS-inhoud te maken.

Succesvolle BEC-aanvallen kosten organisaties jaarlijks honderden miljoenen dollars. In 2022 startte het Recovery Asset Team van de FBI de Financial Fraud Kill Chain na 2.838 BEC-klachten over binnenlandse transacties met potentiële verliezen van meer dan USD 590 miljoen.

Hoewel de financiële gevolgen aanzienlijk zijn, kan de schade op de langere termijn bestaan uit identiteitsdiefstal als persoonsgegevens (PII) zijn gecompromitteerd, of verlies van vertrouwelijke gegevens als gevoelige correspondentie of intellectueel eigendom wordt blootgelegd in schadelijke e-mails en berichtenverkeer.

Hoewel bedreigingsactoren speciale hulpprogramma's hebben ontwikkeld om BEC mogelijk te maken, waaronder phishingkits en lijsten met geverifieerde e-mailadressen die gericht zijn op bedrijfsleiders, leveranciers en andere specifieke rollen, kunnen bedrijven methoden gebruiken om aanvallen te voorkomen en risico's te beperken.

Een DMARC-beleid (op domein gebaseerd berichtsverificatie-, rapportage- en conformatiteit) van 'weigeren' biedt de sterkste bescherming tegen vervalste e-mails, door ervoor te zorgen dat niet-geverifieerde berichten worden geweigerd op de mailserver, zelfs voordat ze worden afgeleverd. Daarnaast bieden DMARC-rapporten een mechanisme voor een bedrijf om op de hoogte te worden gebracht van de bron van een schijnbare vervalsing, informatie die ze normaal gesproken niet zouden ontvangen.

Hoewel organisaties al een paar jaar bezig zijn met het beheren van volledig externe of hybride medewerkers, is het nog steeds nodig om opnieuw na te denken over bewustzijn wat betreft beveiliging in het tijdperk van hybride werk. Omdat medewerkers met meer leveranciers en aannemers werken en daardoor meer 'first seen' e-mails ontvangen, is het noodzakelijk dat je je bewust bent van wat deze veranderingen in werkritmes en correspondentie betekenen voor je kwetsbaarheid voor aanvallen.

BEC-pogingen van bedreigingsactoren kunnen vele vormen aannemen, waaronder telefoongesprekken, sms-berichten, e-mails of berichten via sociale media. Het vervalsen van berichten met verificatieverzoeken en het zich voordoen als personen en bedrijven zijn ook veelgebruikte tactieken.

Een goede eerste defensieve stap is het aanscherpen van beleidsregels voor de afdelingen boekhouding, interne controles, payroll of personeelszaken over hoe je moet reageren op verzoeken of meldingen van wijzigingen met betrekking tot betaalmiddelen, bankieren of directe overboekingen. Door een stapje terug te doen en verzoeken die op een verdachte manier niet in overeenstemming zijn met het beleid, aan de kant te schuiven, of door contact op te nemen met een verzoekende entiteit via haar legitieme site en vertegenwoordigers, kunnen organisaties enorme verliezen voorkomen.

BEC-aanvallen zijn een goed voorbeeld van waarom cyberrisico's via verschillende afdelingen moeten worden aangepakt, waarbij directeurs en leiders, financiële medewerkers, HR-managers en anderen met toegang tot gegevens van medewerkers, zoals sofinummers, belastingaangiften, contactgegevens en roosters, aan tafel zitten met IT-, compliance- en cyberrisicobeheerders.

Meer informatie over BEC enIraanse bedreigingsactoren met inzichten van Simeon Kakpovi, Senior Threat Intelligence Analyst.