Atak BEC – hakerzy atakują skrzynki kadry zarządzającej
Ataki na skrzynki e-mailowe to nie nowość. Z pewnością każdy z nas zmierzył się ze spamem lub wiadomością ewidentnie wyglądającą na upozorowaną. Cyberprzestępcy nie próżnują – za pomocą techniki Business Email Compromise (atak BEC) dostają się do skrzynek wysoko postawionych osób w firmie.
Kadra kierownicza i zarząd firmy są szczególnie narażeni na ataki BEC
Coraz częściej ataki są skierowane również na managerów i dyrektorów działów finansowych i księgowości, którzy są w posiadaniu wrażliwych danych biznesowych. Atak BEC opiera się na uzyskaniu dostępu do skrzynki pocztowej, z której hakerzy sczytują poszukiwane informacje o działaniach kadry kierowniczej i w oparciu o które tworzą oddzielne skrzynki pod podobnie wyglądającą domeną.
Atak BEC rozpoczyna się od dokładnego rozpoznania pracowników firmy. Hakerzy wyszukują informacje o osobach decyzyjnych w firmie, w których posiadaniu znajdują się ważne dane biznesowe, zwłaszcza strategie rozwoju, dokumenty finansowe czy baza kontaktów do klientów.
Co może zrobić haker z pozyskanymi danymi wskutek ataku BEC?
- Wysłać e-maile do klientów firmy z wezwaniem o dokonanie zapłaty na konto, które wskazano jako firmowe, choć tak naprawdę znajduje się w posiadaniu hakera.
- Wysłać prośbę o przesłanie danych osobowych czy dotyczących umowy w celu weryfikacji klienta w systemie księgowym firmy.
- Wysłać nową fakturę ze zmienionymi danymi do realizacji przelewu.
- Wysłać prośbę o natychmiastowe uregulowanie płatności, podając się za dyrektora firmy.
Atak BEC to jedna z wielu form technik socjotechnicznych
Haker manipuluje użytkownikami poczty elektronicznej – wykorzystuje prestiż zawodowy i wyższość rangi osoby, za którą podaje się. Scenariuszy przeprowadzenia ataku BEC może być naprawdę wiele. Schemat działania hakera zależy od usług świadczonych przez firmę, procedur obowiązujących wewnątrz firmy oraz specyfiki wymiany korespondencji. Scenariusz bezpośrednio odnosi się do roli pełnionej przez pracownika i związanych z nią uprawnień.