Nikogo nie powinno dziwić, że kadra zarządzająca przedsiębiorstw (a w szczególności prezesi i dyrektorzy generalni) oraz inni pracownicy na wysokich stanowiskach mogą mieć do czynienia z sytuacją, w której ktoś się pod nich podszywa w celu popełnienia przestępstwa. Któż bowiem odmówi dyrektorowi generalnemu? Kto nie spełni osobistej prośby prezesa? Minęły czasy, kiedy oszukańcze wiadomości e-mail można było łatwo rozpoznać po rażących błędach gramatycznych lub niewiarygodnych historiach o wygranej na loterii lub wysokich tantiemach. Obecnie oszuści wysyłający fałszywe biznesowe wiadomości e-mail (Business Email Compromise — BEC) wykorzystują szacunek, jakim cieszą się niektóre osoby w firmie, do brania na cel pracowników, którzy odpowiadają za finanse firm. Na celowniku są dyrektorzy finansowi (CFO), ale także księgowi z uprawnieniami do wykonywania przelewów wysokich sum.

Kampanie oparte na fałszywych biznesowych wiadomościach e-mail można uznać za jedne z najniebezpieczniejszych ataków grożących przedsiębiorstwom każdej wielkości. Powodzenie takich ataków jest niezależne od wykrywalnych komponentów złośliwego oprogramowania, ponieważ zamiast tego opiera się na zwykłym oszustwie i socjotechnice. Ponadto są one ukierunkowane na pracowników, którzy są odpowiedzialni za finansowy dobrobyt firmy, oraz osoby podatne na takie podstępne taktyki (m.in. przedstawicieli kadry zarządzającej, pracowników działu kadr czy asystentów). Jest to zagrożenie, które może doprowadzić firmę do ruiny — a w niektórych przypadkach już tego dokonało.

W ramach naszych nieustających starań mających na celu badanie i analizę zagrożeń BEC, obejmujących m.in. badanie incydentów z kilku ostatnich lat, wykryliśmy pewne prawidłowości, które mogą być dla przedsiębiorstw interesujące. Na przykład:

• 40% ataków BEC w ciągu ostatnich dwóch lat było wymierzone bardziej w dyrektorów finansowych niż w jakichkolwiek innych pracowników w firmie;
• w 31% ataków BEC przestępcy podszyli się pod dyrektora generalnego, aby dokonać oszustwa;
• najbardziej popularne tematy wiadomości BEC zawierały słowa „Transfer” (transfer), „Request” (prośba) i „Urgent” (pilne).

Oszustwa związane z przelewami: szeroki wybór

Oprócz osławionego podszywania się pod przedstawicieli kadry zarządzającej oszustwa związane z przelewami mogą być przeprowadzane na wiele innych sposobów. A co ciekawe, wcale nie są one drogie. Złośliwe oprogramowanie używane przy oszustwach BEC można kupić przez internet już za 50 USD, a niektóre są dostępne nawet za darmo. Ponadto w niektórych przypadkach oszustwa nie są ograniczone do podszywania się pod kogoś w wiadomości e-mail. Czasami cyberprzestępcy włamują się do rzeczywistego konta pocztowego, aby zlecić dokonanie przelewu na rachunek oszusta. Za pomocą phishingu lub oprogramowania keylogger cyberprzestępcy mogą ukraść dane uwierzytelniania, które następnie umożliwią im wysyłanie poleceń przelewu. Niektórzy tworzą jeszcze większe pozory legalności poprzez wykonanie krótkiego telefonu w celu zatwierdzenia transakcji. Przedsiębiorstwa prowadzące interesy z zagranicznymi dostawcami mogą również stanowić dobry cel ataków polegających na modyfikacji płatności — czyli zmianie odbiorcy płatności.

W ostatecznym rozrachunku wszystko zależy od pracowników

Być może dla niektórych osób wnioski i taktyki podane powyżej to nic nowego, ale w szerszym kontekście ataków BEC (a jest on w rzeczy samej szeroki — szacuje się, że tylko w latach 2013–2015 spowodowały one łączne straty w wysokości 2,3 mld USD) są one bardzo pomocne, ponieważ uczą nas, jak możemy lepiej się bronić przed tymi atakami.

Ze względu na obłudny i podstępny charakter ataków BEC standardowe najlepsze procedury lub zabezpieczenia nie stanowią wystarczającej ochrony. Oszustwa BEC ilustrują to, że pracownicy są pierwszą i ostatnią linią obrony, jeśli chodzi o zabezpieczenie cennych zasobów przedsiębiorstwa. Świadomość w dziedzinie bezpieczeństwa oraz rozwiązania, które radzą sobie nie tylko z tradycyjnymi zagrożeniami związanymi z wiadomościami e-mail, mogą stworzyć barierę pomiędzy firmą a oszukańczym przelewem opiewającym na wiele tysięcy dolarów.

Zaproponowana przez Trend Micro technologia Social Engineering Attack Protection jest w stanie ochronić przed atakami BEC zarówno duże korporacje, jak i małe i średnie przedsiębiorstwa. Jest ona zintegrowana z rozwiązaniami InterScan Messaging Security oraz Hosted Email Security. Zapewnia dodatkową warstwę ochronną dzięki analizie nadawców, tytułów wiadomości e-mail, socjotechnik i oszukańczych zachowań oraz wykrywaniu szkodliwego oprogramowania związanego z atakami BEC. Rozwiązania te są udostępnianie w ramach funkcji zabezpieczania punktów końcowych i wiadomości e-mail w pakietach Trend Micro Smart Protection i rozwiązaniach Network Defense.

Więcej informacji o atakach BEC można znaleźć w artykule Billion-Dollar Scams: The Numbers Behind Business Email Compromise (Oszustwa warte miliardy dolarów: straty powodowane przez ataki BEC, artykuł w języku angielskim). Zawiera on wyczerpujące informacje o przebiegu ataku BEC, krajach i stanowiskach, które były celem największej liczby takich ataków, oraz sposobach zapobiegania potencjalnie ogromnym stratom.

Autor: Michał Jarski, Regional Sales Director CEE, Trend Micro