Co je ohrožení zabezpečení firemních e-mailů BEC (Business Email Compromise)?
-
Ohrožení zabezpečení firemních e-mailů (BEC) je typ útoku phishing, který cílí na organizace s cílem ukrást peníze nebo důležité informace.
Definice ohrožení zabezpečení firemních e-mailů BEC
Ohrožení zabezpečení podnikových e-mailů (BEC) je typ kybernetické trestné činnosti, kdy podvodník pomocí e-mailu někoho oklame tak, aby odeslal peníze nebo vyzradil důvěrné firemní informace. Pachatel se vydává za nějakou důvěryhodnou osobu a pak požádá o proplacení falešné faktury nebo o citlivé údaje, které může použít v jiném podvodu. Počet podvodů BEC roste kvůli vyšší míře práce na dálku. FBI v loňském roce obdržela téměř 20 000 stížností na podvody typu BEC.1
Typy podvodů BEC
E-mail je výchozím bodem u 91 procent kybernetických útoků.2 Získejte další informace o nejčastějších typech ohrožení zabezpečení e-mailů.
Krádež dat
Někdy podvodníci začínají tím, že cílí na personální oddělení a ukradnou firemní informace, jako je něčí pracovní rozvrh nebo osobní telefonní číslo. Pak je jednodušší provést některý z dalších podvodů BEC a působit věrohodněji.
Scénář s falešnou fakturou
Podvodník se vydává za legitimního dodavatele, se kterým vaše společnost spolupracuje, a e-mailem pošle nějakou falešnou fakturu. Ta se často velmi podobá skutečné faktuře. Číslo účtu se může lišit třeba jen v jedné číslici. Nebo vás může požádat, abyste provedli platbu do jiné banky, protože v aktuální bance probíhá audit.
Podvod jménem generálního ředitele
Podvodníci zfalšují e-mailový účet generálního ředitele nebo tento účet napadnou a pak pošlou zaměstnancům e-mail s pokyny, že mají provést nějaký nákup nebo poslat peníze bankovním převodem. Takový podvodník může dokonce zaměstnance požádat o zakoupení dárkových karet a pak si vyžádat fotky sériových čísel.
Vydávání se za právníka
Při tomto podvodu získají útočníci neoprávněný přístup k nějakému e-mailovému účtu v advokátní kanceláři. Pak pošlou klientům e-mail s fakturou nebo odkazem na platbu online. E-mailová adresa je legitimní, bankovní účet však ne.
Ohrožení zabezpečení účtu
Podvodníci pomocí útoku phishing nebo malwaru získají přístup k e-mailovému účtu některého zaměstnance finančního oddělení, například správce pohledávek. Podvodník pak e-mailem odešle firemním dodavatelům falešné faktury, které požadují platbu na podvodný bankovní účet.
Jak fungují podvody BEC?
Podvod BEC se odehrává takto:
1. Podvodníci prozkoumají své cíle a zjistí, jak zfalšovat jejich identitu. Někdy vytvoří falešné weby nebo si dokonce zaregistrují společnosti se stejnými názvy, jaké používáte vy, ale v jiné zemi.
2. Jakmile podvodníci získají přístup, sledují e-maily a zjišťují, kdo by mohl posílat nebo přijímat peníze. Také se dívají na vzory konverzace a faktury.
3. Při e-mailové konverzaci se podvodník vydává za jednu ze stran falšováním e-mailové domény. (E-mailová adresa se může lišit v jednom nebo ve dvou písmenech nebo se může jednat o správnou e-mailovou adresu poslanou „přes“ jinou doménu – například chris@contoso.com přes fabrikam.com.)
4. Podvodník se snaží získat důvěru cílové osoby a pak ji požádá o peníze, dárkové karty nebo informace.
Cíle ohrožení zabezpečení firemních e-mailů
Cílem podvodu BEC může být kdokoli. Podvodníci cílí na firmy, úřady, neziskové organizace a školy – a to konkrétně na tyto role:
1. Ředitelé a vedoucí pracovníci, protože podrobnosti o nich jsou často veřejně dostupné na webu společnosti, takže útočníci můžou předstírat, že je znají.
2. Zaměstnanci finančního oddělení, jako jsou kontroloři a účetní, kteří mají k dispozici bankovní údaje, platební metody a čísla účtů.
3. Manažeři v personálním oddělení s přístupem k záznamům o zaměstnancích, jako jsou čísla sociálního pojištění, daňová prohlášení, kontaktní informace a rozvrhy.
4. Noví zaměstnanci nebo zaměstnanci na základních pozicích, kteří si nebudou schopni ověřit legitimitu e-mailu u odesílatele.
Nebezpečí podvodů BEC
Pokud je útok ohrožením zabezpečení firemních e-mailů úspěšný, může ve vaší organizaci dojít ke:
1. Ztrátě stovek tisíc až milionů dolarů.
2. Rozsáhlé krádeži identit v případě krádeže osobních údajů.
3. Náhodným únikům důvěrných dat, například duševního vlastnictví.
S vývojem scénářů podvodů BEC se vyvíjejí i strategie ochrany před hrozbami. Společnost Microsoft v loňském roce zablokovala 32 miliard e-mailových hrozeb.3 Získejte další informace o řešeních společnosti Microsoft pro ochranu před e-mailovými hrozbami.
Příklady ohrožení zabezpečení firemních e-mailů
Příklad 1: Zaplaťte tuto urgentní fakturu
Pracujete například ve finančním oddělení společnosti. Od finančního ředitele dostanete e-mail s naléhavou žádostí týkající se faktury po splatnosti – ale ve skutečnosti to není e-mail od finančního ředitele. Nebo se podvodník vydává za vaši servisní firmu nebo poskytovatele internetových služeb a pošle vám e-mailem přesvědčivě vypadající fakturu.
Příklad 2: Jaké máte telefonní číslo?
Jeden z výkonných manažerů firmy vám pošle e-mail se zprávou „Potřebuji vaši pomoc s jedním rychlým úkolem. Pošlete mi svoje telefonní číslo a já vám pošlu textovou zprávu.“ Textové zprávy lidé považují ze bezpečnější a více osobní než e-mail, takže podvodník doufá, že mu pošlete platební údaje nebo jiné citlivé informace. Tomu se říká „smishing“ neboli phishing prostřednictvím SMS (textové) zprávy.
Příklad 3: Končí vám pronájem
Podvodník získá přístup k e-mailu realitní společnosti a najde probíhající transakce. Pak pošle klientům e-mail se zprávou „Posíláme fakturu za prodloužení pronájmu kanceláře na další rok“ nebo „Tady je odkaz k zaplacení kauce za pronájem“. Podvodníci tímto způsobem nedávno někoho připravili o více než 500 000 dolarů.4
Příklad 4: Přísně tajná akvizice
Šéf vás požádá o zálohu na akvizici jednoho z vašich konkurentů. V e-mailu píše „Musí to zůstat jen mezi námi“, což vás odrazuje od toho, abyste žádost ověřovali. Vzhledem k tomu, že podrobnosti týkající se fúzí a akvizic se často drží v tajnosti, dokud není vše dokončeno, nemusí se tento podvod zdát na první pohled podezřelý.
Tipy, jak zabránit podvodům BEC
Dodržováním těchto pěti osvědčených postupů můžete zastavit ohrožení zabezpečení podnikových e-mailů:
Používejte zabezpečené e-mailové řešení
E-mailové aplikace, jako je Office 365, automaticky označují a odstraňují podezřelé e-maily nebo vás upozorní, že odesílatel není ověřený. Pak můžete určité odesílatele blokovat a nahlásit e-maily jako spam. Defender pro Office 365 přidává ještě více funkcí prevence proti podvodům BEC, jako je rozšířená ochrana před útoky phishing a detekce podezřelého přeposílání.
Nastavte si vícefaktorové ověřování (MFA)
Znesnadněte ohrožení e-mailů zapnutím vícefaktorového ověřování, které pro přihlášení vyžaduje kromě hesla také nějaký kód, PIN nebo otisk prstu.
Naučte zaměstnance rozpoznávat varovné signály
Ujistěte se, že všichni vědí, jak rozpoznat phishingové odkazy, neshodující se domény a e-mailové adresy a další varovné signály. Proveďte simulovaný podvod BEC, aby ho lidé rozpoznali, až k nějakému skutečně dojde.
Nastavte výchozí nastavení zabezpečení
Správci můžou zpřísnit požadavky na zabezpečení v celé organizaci tím, že budou vyžadovat, aby všichni používali vícefaktorové ověřování, kontrolovat nové nebo rizikové přístupy pomocí ověřování a vynucovat resetování hesel v případě úniku informací.
Používejte nástroje pro ověřování e-mailů
Znesnadněte falšování identity v e-mailech ověřováním odesílatelů pomocí SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) a DMARC (Ověřování, vykazování a dodržování shody zpráv podle domény).
Zaveďte platformu pro zabezpečené platby
Zvažte přechod z faktur posílaných e-mailem na systém navržený speciálně pro ověřování plateb.
Ochrana proti ohrožení zabezpečení firemních e-mailů
Pomozte chránit vaši organizaci pomocí nějakého řešení pro detekci podezřelých e-mailů, jako je například řešení Microsoft Defender pro Office 365, které dokáže:
1. Automaticky kontrolovat standardy ověřování e-mailů, detekovat falšování identity a odesílat e-maily do karantény nebo do složek s nevyžádanou poštou.
2. Pomocí umělé inteligence modelovat normální vzory e-mailové komunikace jednotlivých osob a označovat neobvyklou aktivitu.
3. Konfigurovat ochranu e-mailů podle uživatelů, domén a poštovních schránek.
4. Zkoumat hrozby, zjišťovat, kdo je cílem útoků, detekovat falešně pozitivní výsledky a identifikovat podvodníky v Průzkumníku hrozeb.
5. Kontrolovat vzory e-mailů v celé doméně a označovat neobvyklou aktivitu pomocí pokročilých algoritmů v systému ochrany před falšováním identity.
Další informace o zabezpečení od Microsoftu
Šest tipů, jak zvýšit bezpečnost e-mailů
Dodržujte tyto osvědčené postupy zabezpečení e-mailů, které vám pomůžou zajistit ochranu před podvody BEC.
Jak probíhají podvody s dárkovými kartami
Přečtěte si skutečné e-maily od podvodníků, kteří se snaží provést podvod BEC, abyste byli připraveni.
Nahlédněte do útoku BEC
Zjistěte, jak podvodníci postupují v tomto skutečném podvodu pomocí ohrožení zabezpečení firemních e-mailů.
Prevence útoků password spray
Zjistěte, jak tento e-mailový útok zastavit a zjistit, kdo je ve vaší organizaci zranitelný.
Co by měli vědět ředitelé pro zabezpečení informací
Seznamte se se školením zaměřeném na povědomí o stavu zabezpečení a zjistěte, jak vzdělávat tým ohledně phishingu.
Jak vícefaktorové ověřování brání útokům phishing
Udělejte jeden z nejrychlejších a nejjednodušších kroků, jak zabránit podvodům BEC – zapněte vícefaktorové ověřování.
Seznamte se s týmem Digital Crimes Unit
Zjistěte, jak tým Microsoftu pro boj s kybernetickou kriminalitou bojuje proti podvodům BEC pomocí inovací produktů, výzkumu a umělé inteligence.
Časté otázky
-
Podejte stížnost prostřednictvím centra Internet Crime Complaint Center (IC3) agentury FBI. Nahlaste e-mail prostřednictvím svého poskytovatele e-mailových služeb tím, že ho označíte jako nevyžádanou poštu nebo spam. Pokud váš e-mail tuto možnost nemá, řekněte to nadřízenému.
-
Útoky phishing jsou jen jednou součástí ohrožení zabezpečení podnikových e-mailů. BEC je zastřešující termín, typ útoku, který často zahrnuje útoky phishing, falšování identity, vydávání se za někoho jiného a falešné faktury.
-
Firemní e-maily můžete chránit dodržováním následujících osvědčených postupů zabezpečení e-mailů, jako je používání poskytovatele zabezpečeného e-mailu, zapnutí vícefaktorového ověřování, používání silných e-mailových hesel a jejich častá obměna a nesdělování osobních údajů online. Pokud jste správci, zvažte řešení zabezpečení e-mailu, jako je Defender pro Office 365, nakonfigurujte nastavení zabezpečení a sledujte anomálie v aktivitách.
-
Podvody BEC můžete odhalit, když si všimnete čehokoli neobvyklého, například e-mailu odeslaného mimo pracovní dobu, chybně napsaných jmen, neshody mezi e-mailovou adresou odesílatele a adresou pro odpověď, naléhavosti, podivných odkazů a příloh nebo změn platebních či fakturačních údajů. Podvody BEC můžete odhalit také tak, že budete kontrolovat odstraněné e-maily ve svém e-mailovém účtu a pravidla pro přeposílání, abyste zjistili, jestli váš účet nebyl napaden. Pokud vaše e-mailová aplikace označuje určité e-maily jako podezřelé nebo neověřené, je to další způsob, jak detekovat podvody BEC.
-
Falšování e-mailů je zfalšování e-mailové adresy tak, aby vypadala, že e-mail přišel od někoho jiného. Zfalšované e-maily můžou vypadat jako skutečné, ale můžou pocházet z jiné domény, což však není zřejmé, dokud ji nezkontrolujete (chris@contoso.com přes fabrikam.com). Nebo můžou obsahovat drobné rozdíly u jednotlivých znaků (chris@cont0so.com), případně můžou pocházet ze zcela jiné domény (chris@fabrikam.com).
1. FBI. „Internet Crime Report 2021“. Internet Crime Complaint Center. 2021.
2. Ganacharya, Tanmay. „Protecting against coronavirus themed phishing attacks“. Blog o zabezpečení od Microsoftu 20. března 2020.
3. Microsoft. „Digital Defense Report“. Říjen 2021.
4. Ministerstvo spravedlnosti USA. „Rhode Island Man Pleads Guilty to Conspiracy to Launder Funds of Email Compromise Fraud Targeting Massachusetts Lawyer“. 15. července 2020.
Sledujte Microsoft 365