व्यापार ईमेल समझौता (बीईसी)

बिजनेस ईमेल कॉम्प्रोमाइज़ (बीईसी) तब होता है जब किसी ईमेल अकाउंट, अक्सर कंपनी के वित्त विभाग में, किसी हैकर द्वारा हैक कर लिया जाता है और उस पर नियंत्रण कर लिया जाता है। यह अक्सर फ़िशिंग हमले के ज़रिए होता है, जिससे क्रेडेंशियल चोरी हो जाते हैं, जैसा कि साइबरहूट के ' डोमिनो अटैक' नामक लेख में बताया गया है । क्रेडेंशियल तब चोरी होते हैं जब कोई पीड़ित किसी फ़र्ज़ी फ़िशिंग ईमेल लिंक पर क्लिक करता है या कोई फ़र्ज़ी इनवॉइस खोलता है। ऐसा करने से पीड़ित एक दुर्भावनापूर्ण लेकिन विश्वसनीय वेबसाइट पर पहुँच जाता है जो असली विक्रेता की वेबसाइट जैसी दिखती है और उपयोगकर्ता से अपना ईमेल और पासवर्ड डालने के लिए कहती है। बीईसी हमले अक्सर किसी ऐसे व्यक्ति द्वारा किए जाते हैं जिसे आपका सीएफओ पहले से जानता है, यानी भेजने वाला ईमेल पता वास्तव में सही और अपेक्षित होता है। आमतौर पर यह पता चलता है कि दूसरे वित्त अधिकारी का ईमेल हैकरों द्वारा हैक कर लिया गया है और अब वे आपके वित्तीय अधिकारियों को निशाना बना रहे हैं। इस तरह एक के बाद एक कंपनियों में डोमिनो अटैक होते चले जाते हैं।

एक बार जब कोई हैकर किसी मुख्य वित्तीय अधिकारी (CFO) के ईमेल खाते में घुस जाता है, तो वह वित्तीय लेनदेन की तलाश में उनके ईमेल पढ़ता है। वे बिल्कुल सही समय पर हमला करते हैं और धोखाधड़ी वाले निर्देशों के साथ एक सामान्य वायर ट्रांसफर को सीधे आपके ईमेल-आधारित लेनदेन में भेज देते हैं। इन घोटालों की सफलता पूरी तरह से इस बात पर निर्भर करती है कि दोनों पक्ष ईमेल के अलावा, जैसे कि फोन पर, नए वायर ट्रांसफर निर्देशों की पुष्टि न करें। फोन या आमने-सामने सभी वायर ट्रांसफर निर्देशों में बदलाव की पुष्टि न करने के कारण हर साल दुनिया भर में अरबों डॉलर हैकरों के खातों में ट्रांसफर हो जाते हैं। धोखाधड़ी से ट्रांसफर किए गए ये फंड शायद ही कभी बरामद होते हैं। FBI द्वारा दिए गए कुछ वास्तविक मामलों के उदाहरण इस प्रकार हैं:

• आपकी कंपनी जिस विक्रेता के साथ नियमित रूप से काम करती है, वह अद्यतन डाक पते के साथ चालान भेजता है।
• एक कंपनी की सीईओ अपनी असिस्टेंट से कर्मचारियों को इनाम के तौर पर भेजने के लिए दर्जनों गिफ्ट कार्ड खरीदने को कहती है। वह सीरियल नंबर मांगती है ताकि वह उन्हें तुरंत ईमेल कर सके।
• एक घर खरीदार को अपनी टाइटल कंपनी से एक संदेश प्राप्त होता है जिसमें अग्रिम भुगतान के बारे में निर्देश होते हैं।

एक छोटे एवं मध्यम आकार के व्यवसाय (एसएमबी) के लिए इसका क्या मतलब है?

एफबीआई और साइबरहूट आपको " जागरूकता और प्रशिक्षण कार्यक्रम लागू करने " की सलाह देते हैं ताकि आपका व्यवसाय इन हमलों के बारे में जानकार और तैयार रहे। सौभाग्य से, व्यावसायिक ईमेल समझौता (बिजनेस ईमेल कॉम्प्रोमाइज) के मामले में, तैयारी अपेक्षाकृत सरल है। आप जो सबसे अच्छा उपाय कर सकते हैं, वह है अपनी वायर ट्रांसफर प्रक्रिया (डब्ल्यूटीपी) की समीक्षा करना और उसे दस्तावेज़ित करना। डब्ल्यूटीपी के लिए, साइबरहूट निम्नलिखित सुझाव देता है:

• वायरिंग निर्देशों में सभी परिवर्तनों की पुष्टि ईमेल के अलावा, अधिमानतः फोन कॉल, ज़ूम मीटिंग या डाक सेवा के माध्यम से की जानी चाहिए।
• सभी पक्षों के साथ सटीक वायरिंग निर्देश स्थापित करें।
• नए वायरिंग निर्देशों की पुष्टि के लिए किसी (संभावित) धोखाधड़ी वाले ईमेल में दिए गए फ़ोन नंबर पर कॉल न करें। वह फ़ोन नंबर भी नकली हो सकता है।
  • किसी विश्वसनीय स्रोत (अर्थात उनकी वेबसाइट) से अपने संपर्क का फोन नंबर ढूंढें और सत्यापन के लिए कॉल करें।

एक मजबूत वायर ट्रांसफर प्रक्रिया लागू करने के अलावा, साइबरहूट निम्नलिखित कदम उठाने की भी सिफारिश करता है:

• कर्मचारियों को प्रशिक्षित करें कि वे कैसे पहचानें और कैसे बचें फ़िशिंग हमलेकर्मचारियों को अधिक आत्मविश्वासी, उत्पादक और सुरक्षित बनने के लिए आवश्यक कौशल सिखाने के लिए साइबरहूट जैसी लर्निंग मैनेजमेंट प्रणाली को अपनाएं।
• कर्मचारियों का परीक्षण करें फिशिंग साइबरहूट की फिश टेस्टिंग, व्यवसायों को विश्वसनीय फिशिंग हमलों वाले कर्मचारियों का परीक्षण करने और विफल रहने वालों को सुधारात्मक फिश प्रशिक्षण देने की अनुमति देती है।
• अपने WTP के अतिरिक्त नीतियों और प्रक्रियाओं के साथ कर्मचारियों को नियंत्रित करें। आपको एक पासवर्ड नीति, एक स्वीकार्य उपयोग नीति, एक सूचना प्रबंधन नीति, और कम से कम एक लिखित सूचना सुरक्षा कार्यक्रम (डब्ल्यूआईएसपी)।
• महत्वपूर्ण साइबर सुरक्षा प्रौद्योगिकी को तैनात करना, जिसमें शामिल हैं दो तरीकों से प्रमाणीकरण सभी महत्वपूर्ण खातों पर। ईमेल स्पैम फ़िल्टरिंग सक्षम करें, बैकअप सत्यापित करें, DNS सुरक्षा लागू करें, एंटीवायरस, तथा विरोधी मैलवेयर आपके सभी समापन बिंदुओं पर.
• आधुनिक वर्क-फ्रॉम-होम युग में, सुनिश्चित करें कि आप अपने नेटवर्क से कनेक्ट होने वाले व्यक्तिगत उपकरणों की सुरक्षा की पुष्टि करके उनका प्रबंधन कर रहे हैं (पैचिंग, एंटीवायरस, डीएनएस सुरक्षा, आदि) या उनके उपयोग को पूरी तरह से प्रतिबंधित करना।
• यदि आपने अभी तक ऐसा नहीं किया है जोखिम मूल्यांकन पिछले 3 सालों में किसी तीसरे पक्ष द्वारा किए गए किसी भी जोखिम प्रबंधन समझौते (RJF) के लिए, अब आपके पास एक होना चाहिए। अपने संगठन में एक जोखिम प्रबंधन ढाँचा स्थापित करना, आपके सीमित समय और धन के साथ आपके सबसे गंभीर जोखिमों से निपटने के लिए महत्वपूर्ण है।
• खरीदना साइबर बीमा किसी भी भयावह विफलता की स्थिति में आपकी सुरक्षा के लिए। साइबर बीमा कार, आग, बाढ़ या जीवन बीमा से अलग नहीं है। यह तब उपलब्ध होता है जब आपको इसकी सबसे ज़्यादा ज़रूरत होती है।

व्यावसायिक ईमेल समझौता के बारे में अधिक जानने के लिए, यह 3 मिनट का छोटा प्रशिक्षण वीडियो देखें:

सूत्रों का कहना है: 

TrendMicro

एफबीआई.गवर्नमेंट

अतिरिक्त पढ़ना:

बीईसी हैकर्स को एफबीआई ने पकड़ा

2020 का सबसे महंगा साइबर अपराध क्या था?

संबंधित शर्तें:

फिशिंग

भाला फ़िशिंग

whaling

जानें कि साइबरहूट आपके व्यवसाय को कैसे सुरक्षित कर सकता है।

एक डेमो शेड्यूल करें