Business Email Commitment (BEC)

25. mai 2021 | Cybrary

Bedrifts-e-postkompromittering (BEC) er når en e-postkonto, ofte i et selskaps finansavdeling, blir brutt inn i og kontrollert av en hacker. Dette oppnås ofte gjennom et phishing-angrep som fører til tyveri av legitimasjon, som beskrevet i CyberHoots artikkel med tittelen « Domino-angrepet» . Legitimasjon blir stjålet når et offer klikker på en falsk phishing -e-postlenke eller åpner en falsk faktura. Dette fører offeret til et ondsinnet, men troverdig nettsted som er identisk med den virkelige leverandørens nettsted, som ber brukeren om å oppgi e-postadressen og passordet sitt. BEC-angrep kommer ofte fra noen som økonomidirektøren din allerede kjenner, noe som betyr at avsender-e-postadressen faktisk er korrekt og forventet. Det viser seg vanligvis at den andre finanspersonens e-postadresse har blitt kompromittert av hackere som nå retter seg mot dine økonomiansvarlige. Dermed fortsetter dominobrikkene å falle selskap for selskap.

Når en hacker går inn i en finansdirektørs e-postkonto, leser de gjennom deres økonomiske e-poster på jakt etter banktransaksjoner. De slår til i akkurat riktig øyeblikk og omdirigerer en vanlig bankoverføring med falske bankinstruksjoner direkte til din e-postbaserte banksamtale. Suksessen til disse svindelene hviler utelukkende på at begge parter aldri autentiserer nye bankinstruksjoner utenom e-post, for eksempel over telefon. Å ikke bekrefte alle endringer i bankinstruksjoner over telefon eller personlig resulterer i at milliarder av dollar overføres til hackerkontoer over hele verden hvert år. Disse falskt overførte midlene blir sjelden gjenopprettet. Noen eksempler gitt av FBI på virkelige tilfeller er:

En leverandør som bedriften din regelmessig har med å gjøre, sender en faktura med en oppdatert postadresse.
En administrerende direktør i et selskap ber assistenten sin om å kjøpe dusinvis av gavekort som de kan sende ut som belønninger til ansatte. Hun ber om serienumrene slik at hun kan sende dem ut på e-post med en gang.
En boligkjøper mottar en melding fra titelselskapet sitt med instruksjoner om hvordan han skal overføre forskuddsbetalingen.

Hva betyr dette for en SMB?

FBI og CyberHoot anbefaler at du « implementerer et bevissthets- og opplæringsprogram » for å hjelpe bedriften din med å være både kunnskapsrik om og forberedt på disse angrepene. Heldigvis er forberedelsene relativt enkle med Business Email Compromise. Det beste tiltaket du kan ta er å gjennomgå og dokumentere bankoverføringsprosessen din (WTP). For WTP anbefaler CyberHoot:

ALLE endringer i ledningsinstruksjonene må bekreftes utenfor e-post, helst via telefon, Zoom-møte eller post.
Etabler nøyaktige ledningsinstruksjoner med alle parter.
Ikke ring et telefonnummer som er oppgitt i en (potensielt) falsk e-post for å bekrefte nye ledningsinstruksjoner. Det telefonnummeret er sannsynligvis også falskt.
- Slå opp telefonnummeret til kontakten din fra en pålitelig kilde (f.eks. nettstedet deres) og ring for å bekrefte og validere.

I tillegg til å ha en sterk prosess for bankoverføring på plass, anbefaler CyberHoot at du også gjør følgende:

Lær opp ansatte i hvordan de kan oppdage og unngå phishing-angrepTa i bruk et læringsplattform som CyberHoot for å lære de ansatte ferdighetene de trenger for å bli mer selvsikre, produktive og sikre.
Test ansatte med Phishing angrep å øve på. CyberHoots phish-testing lar bedrifter teste ansatte med troverdige phishing-angrep og gi de som mislykkes opplæring i korrigerende phishing.
Styr ansatte med retningslinjer og prosedyrer i tillegg til din WTP. Du trenger en passord retningslinjer, retningslinjer for akseptabel bruk, retningslinjer for informasjonshåndtering og et skriftlig informasjonssikkerhetsprogram (WISP) som et minimum.
Implementer kritisk cybersikkerhetsteknologi, inkludert tofaktorautentisering på alle kritiske kontoer. Aktiver filtrering av søppelpost i e-post, valider sikkerhetskopier, distribuer DNS-beskyttelse, antivirusog anti-malware på alle endepunktene dine.
I den moderne hjemmekontor-æraen, sørg for at du administrerer personlige enheter som kobler seg til nettverket ditt ved å validere sikkerheten deres (lapp, antivirus, DNS beskyttelse osv.) eller forby bruken av dem fullstendig.
Hvis du ikke har hatt en risikovurdering av en tredjepart de siste to årene, bør du ha en nå. Å etablere et rammeverk for risikostyring i organisasjonen din er avgjørende for å håndtere de mest alvorlige risikoene dine med begrenset tid og penger.
Kjøp Cyberforsikring for å beskytte deg i en katastrofal situasjon med ulykker. Cyberforsikring er ikke annerledes enn bil-, brann-, flom- eller livsforsikring. Den er der når du trenger den som mest.