Mudança de táticas alimenta aumento do comprometimento de e-mail empresarial

A atividade cibercriminosa em redor do comprometimento de e-mail empresarial está a acelerar. A Microsoft observa uma tendência significativa na utilização por parte de atacantes de plataformas, como o BulletProftLink, uma plataforma popular para criar campanhas de e-mail malicioso de escala industrial. O BulletProftLink vende um serviço ponto a ponto que inclui modelos, alojamento e serviços automatizados para BEC. Os adversários que utilizam este CaaS recebem credenciais e o endereço IP da vítima.

Em seguida, os atores de ameaças de BEC compram endereços IP de serviços de IP residenciais com a mesma localização da vítima, criando proxies de IP residenciais que permitem aos cibercriminosos ocultar a sua origem. Agora, munidos de um espaço de endereços localizado para suportar as suas atividades maliciosas, juntamente com nomes de utilizador e palavras-passe, os atacantes de BEC podem ocultar os movimentos, contornar sinalizadores de “viagem impossível” e abrir um gateway para realizar ataques adicionais. A Microsoft observou atores de ameaças na Ásia e numa nação do Leste da Europa a implementar mais frequentemente esta tática.

A viagem impossível é uma deteção utilizada para indicar que uma conta de utilizador pode ter sido comprometida. Estes alertas sinalizam restrições físicas que indicam que uma tarefa está a ser realizada em duas localizações, sem o tempo necessário para viajar de uma localização para a outra.

A especialização e consolidação deste sector da economia do cibercrime pode escalar a utilização de endereços IP residenciais para evitar a deteção. Endereços IP residenciais mapeados para localizações em fornecem a capacidade e a oportunidade para os cibercriminosos recolherem grandes volumes de credenciais e contas de acesso comprometidas. Os atores de ameaças utilizam serviços de IP/proxy que comerciantes e outros podem utilizar para investigação para dimensionar estes ataques. Um fornecedor de serviços de IP, por exemplo, tem 100 milhões de endereços IP que podem ser rodados ou alterados a cada segundo.

Enquanto os atores de ameaças utilizam phishing como serviço como Evil Proxy, Naked Pages e Caffeine para implementar campanhas de phishing e obter credenciais comprometidas, o BulletProftLink oferece um design de gateway descentralizado, que inclui nós de blockchain públicos de Computadores de Internet para alojar sites de phishing e BEC, criando uma oferta de Web descentralizada ainda mais sofisticada que é muito mais difícil de perturbar. A distribuição da infraestrutura destes sites pela complexidade e o crescimento em evolução de blockchains públicos faz com que identificá-los, e alinhar ações de desmantelamento, seja mais complexo. Embora seja possível remover uma ligação de phishing, o conteúdo permanece online, e os cibercriminosos voltam para criar uma nova ligação para o conteúdo de CaaS existente.

Os ataques de BEC com êxito custam às organizações centenas de milhões de dólares anualmente. Em 2022, a Equipa de Recursos de Recuperação do FBI iniciou a Cadeia de Ataque de Fraude Financeira em 2838 queixas de BEC envolvendo transações domésticas com perdas potencias de mais de 590 milhões USD.

Embora as implicações financeiras sejam significativas, os danos de longo prazo mais amplos podem incluir roubo de identidade se informações pessoais (PII) foram comprometidas, ou perda de dados confidenciais se for exposta correspondência confidencial ou propriedade intelectual em tráfego de e-mail e mensagens maliciosos.

Embora os atores de ameaças tenham criado ferramentas especializadas para facilitar o BEC, incluindo kits de phishing e listas de endereços de e-mail verificados a visar líderes em posições de gestão superiores, responsáveis por contas a pagar e outras funções específicas, as empresas podem implementar métodos para prevenir ataques e mitigar risco.

Por exemplo, uma política de domain-based message authentication, reporting, and conformance (DMARC) de “rejeitar” fornece a proteção mais forte contra e-mail falsificado, garantindo que mensagens não autenticadas são rejeitadas no servidor de e-mail, mesmo antes da entrega. Além disso, os relatórios de DMARC fornecem um mecanismo para uma organização saber a origem de uma falsificação aparente, uma informação que normalmente não receberia.

Embora as organizações estejam a gerir há alguns anos equipas de trabalhadores completamente à distância ou híbridas, repensar a consciência de segurança na era do trabalho híbrido continua a ser necessário. Uma vez que os colaboradores trabalham com mais fornecedores, e com isso recebem mais e-mails “vistos pela primeira vez”, é urgente ter consciência do que estas alterações nos ritmos e na correspondência de trabalho significam para a sua superfície de ataque.

As tentativas de BEC dos atores de ameaças podem ter muitas formas, incluindo chamadas de telefone, mensages SMS, e-mails ou mensagens de redes sociais. Falsificar mensagens de pedido de autenticação e fazer-se passar por indivíduos e empresas também são táticas comuns.

Um bom primeiro passo defensivo é fortalecer as políticas para os departamentos de contabilidade, controlos internos, folha de pagamentos ou recursos humanos sobre como responder quando são recebidos pedidos ou notificações de alterações sobre instrumentos de pagamento, atividade bancária ou transferências bancárias. Dar um passo atrás para pôr de lado pedidos que suspeitosamente não seguem as políticas, ou contactar uma entidade requerente através do seu site e dos seus representantes legítimos, pode salvar as organizações de perdas assombrosas.

Os ataques de BEC são um excelente exemplo do motivo pelo qual o risco cibernético tem de ser abordado de uma forma multifuncional, com executivos e líderes, colaboradores de finanças, gestores de recursos humanos e outros com acesso a registos de colaboradores como números de Segurança Social, declarações de impostos, informações de contacto e horários, na mesa juntamente com funcionários de TI, conformidade e risco cibernético.

Saiba mais sobre o BEC e atores de ameaças iranianos com informações de Simeon Kakpovi, Analista de Informações sobre Ameaças Superior.