Bbezstarostnost email ckompromis (BEC) je druh podnikového finančního podvodu, který se konkrétně zaměřuje na organizace podnikající v zahraničí. Tento podvod se spoléhá na schopnost útočníka úspěšně se vydávat za komunikaci od zúčastněné strany společnosti, která by byla pověřena instruováním dalších zaměstnanců na vysoké úrovni, aby prováděli obchodní transakce a používali bankovní převody k placení výrobcům a dodavatelům. Spoofing nebo ohrožení těchto konkrétních firemních e-mailových účtů zaměstnanců může mít za následek podvodné převody.
V bezpečnostních scénářích BEC se útočník často vydává za zaměstnance na vysoké úrovni a poskytuje zaměstnancům pokyny, jak sdílet informace nebo provádět převody s fiktivním dodavatelem. U dalších hlášených trestných činů vytváří útočník falešné dokumenty a faktury, aby se vydával za zahraničního výrobce nebo dodavatele.
Rovněž bylo poznamenáno, že útočníci mohou zahájit podvod BEC zacílením na zaměstnance v HR, aby získali osobní identifikační údaje (PII) zúčastněných stran a dalších klíčových zaměstnanců, které mají být použity při budoucích útocích.
Poznámka: Rovněž se nazývá kompromis obchodního e-mailu (BEC) bbezstarostnost email spoofing (BES)
Pět běžných typů útoků BEC
Podle bezpečnostní firmy Trend Mico je třeba si uvědomit pět typů útoků BEC:
- Falešná faktura: Útočníci předstírají, že jsou dodavateli požadujícími převody finančních prostředků pro platby na účet vlastněný podvodníky.
- CEO Fraud: Útočníci se vydávají za generálního ředitele nebo výkonného ředitele a zasílají e-mail zaměstnancům financí se žádostí o převod peněz na účet, který ovládají.
- Kompromis účtu: E-mailový účet zaměstnance na vysoké úrovni je napaden a používá se k vyžádání plateb na fakturu prodejcům uvedeným v jejich e-mailových kontaktech. Platby se zasílají na podvodné účty.
- Zastupování právního zástupce: Útočníci se vydávají za právníka nebo z právnické firmy, která má na starosti zásadní a důvěrné záležitosti.
- Krádež dat: Zaměstnanci pod vedením HR nebo účetnictví jsou zaměřeni na získání osobně identifikovatelných informací (PII) zaměstnanců a vedoucích pracovníků, které mají být použity pro budoucí útoky. (Zdroj)
Zatímco kompromisní útoky na firemní e-mail využívají k úspěchu e-mail a další formy technologií a digitální komunikaci, podvod nevyužívá technické bezpečnostní exploity, což organizacím ztěžuje detekci. Většina bezpečnostních firem doporučuje vzdělávání zaměstnanců a další školení v oblasti povědomí o bezpečnosti, aby bylo možné identifikovat a vyhnout se podvodům BEC.
Provoz WireWire
V červnu 2017 se operaci FBI podařilo svrhnout mezinárodní zločineckou organizaci, jejíž hlavní činností byl kompromis obchodních e-mailů (BEC). Operace známá jako WireWire vedla k 74 zatčením v sedmi zemích ak získání 16.2 milionů dolarů. (Zdroj: Panda Security)