Trung bình doanh nghiệp dùng email cho mọi thứ từ hỗ trợ khách hàng đến nhân sự. Theo đó, khi tấn công mạng nhắm vào doanh nghiệp, email là nơi hợp lý để bắt đầu. Một ví dụ là lừa đảo Business Email Compromise (BEC).
Lừa đảo BEC dùng kết hợp kỹ thuật xã hội và sự lệch lạc để khuyến khích nhân viên bắt đầu chuyển tiền qua wire transfer cho người lạ hoàn toàn. Tự nhiên, đó cũng là một trong những lừa đảo tốn kém nhất mà doanh nghiệp có thể gặp phải.
Vậy lừa đảo BEC chính xác là gì, và nó hoạt động như thế nào? Làm sao để tránh bị nạn?
Lừa Đảo Business Email Compromise (BEC) Là Gì?
Lừa đảo BEC là khi kẻ tấn công dùng email để mạo danh người khác nhằm trích xuất chuyển khoản wire transfer hoặc tài nguyên khác từ doanh nghiệp.
Nó còn được gọi là lừa đảo Man-in-the-Email. Lừa đảo BEC tương tự tấn công Man-in-the-middle vì cả hai đều dựa vào niềm tin của nạn nhân rằng họ đang giao tiếp với người khác.
Lừa đảo BEC hiệu quả vì nạn nhân thường có mối quan hệ trước với người bị mạo danh.
Chúng cũng là vấn đề phổ biến. FBI báo cáo lừa đảo BEC gây thiệt hại 1,8 tỷ đô la cho doanh nghiệp Mỹ chỉ trong năm 2020.
Lừa Đảo BEC Hoạt Động Như Thế Nào?
Đầu tiên, kẻ tấn công chọn công ty mục tiêu. Chúng có thể nhắm ngành cụ thể hoặc chọn công ty đơn giản có bảo mật kém.
Sau đó, chúng sẽ nghiên cứu kỹ công ty đó bằng thông tin công khai như trang web doanh nghiệp và/hoặc tài khoản mạng xã hội.
Trong giai đoạn này, chúng chủ yếu tìm người để mạo danh. Nhưng chúng cũng cố gắng hiểu cách công ty vận hành và do đó thủ đoạn nào có thể thành công.
Khi đã quyết định mạo danh ai, chúng sẽ hoặc hack tài khoản email của người đó hoặc dùng domain spoofing (giả mạo tên miền) để tạo địa chỉ email trông rất giống.
Bước cuối là dùng tài khoản email đó để kích thích chuyển khoản wire transfer hoặc phản hồi thuận lợi khác. Mục tiêu tiềm năng bao gồm nhân viên, khách hàng, và nhà cung cấp.
Ai Là Mục Tiêu Của Lừa Đảo BEC?
Lừa đảo BEC có thể xảy ra với hầu như bất kỳ doanh nghiệp nào. Mặc cho tấn công vào doanh nghiệp lớn có tiềm năng lợi nhuận hơn, tấn công vào doanh nghiệp nhỏ thường dễ thực hiện hơn.
Miễn là doanh nghiệp đủ thành công để tiền xuân vào ra mỗi tháng, mối đe dọa BEC là rất thực.
Ví Dụ Lừa Đảo BEC
Có một số lừa đảo BEC khác nhau. Hầu hết, tuy nhiên, sẽ rơi vào ít nhất một trong các danh mục sau.
Lừa Đảo CEO (CEO Fraud)
Loại BEC này liên quan đến kẻ tấn công mạo danh chủ sở hữu hoặc CEO. Kẻ tấn công sẽ liên hệ người cấp dưới trong công ty và yêu cầu chuyển khoản wire transfer hoặc loại thanh toán khác.
Xâm Nhập Tài Khoản (Account Compromise)
Lừa đảo BEC không giới hạn ở nhân viên cấp cao. Gần như bất kỳ nhân viên nào cũng có thể bị hack email và sau đó bị dùng mà không hay biết. Tội phạm tài chính sau đó có thể được thực hiện dưới tên doanh nghiệp bị hack.
Hóa Đơn Giả (Bogus Invoices)
Doanh nghiệp có thể bị lừa đảo hóa đơn giả theo hai cách. Chúng có thể nhận hóa đơn giả yêu cầu thanh toán từ nhà cung cấp giả. Hoặc tài khoản email nhân viên có thể bị dùng để gửi hóa đơn cho khách hàng với chi tiết ngân hàng bị thay đổi. Những tấn công này thường nhắm vào doanh nghiệp hoạt động toàn cầu.
Giả Mạo Luật Sư (Attorney Impersonation)
Bằng cách giả vờ là luật sư, kẻ tấn công liên hệ nhân viên để vừa yêu cầu thanh toán vừa施加压力让收件人回复其他邮件。
Đánh Cắp Dữ Liệu (Data Theft)
Một số lừa đảo BEC được thiết kế để đánh cắp dữ liệu thay vì tiền mặt. Thông tin bị đánh cắp sau đó có thể bán hoặc dùng cho mọi thứ từ敲诈到额外的BEC攻击。
Cách Tránh Lừa Đảo BEC
Kẻ thực hiện lừa đảo BEC rất dựa vào thực tế rằng nhiều doanh nghiệp hoặc không nhận ra sự tồn tại của chúng hoặc hoàn toàn không chuẩn bị cho sự xuất hiện của chúng.
Dưới đây là vài mẹo đảm bảo doanh nghiệp của bạn không phải là một trong số đó.
- Đào tạo nhân viên: Nếu nhân viên dùng email như một phần của doanh nghiệp, họ nên được nhận thức về lừa đảo BEC. Đào tạo cũng nên bao gồm cả phishing và kỹ thuật xã hội.
- Thay đổi cách xử lý email: Nên thiết lập giao thức cho việc dùng email. Ví dụ, tệp đính kèm nên được xử lý rất cẩn thận, địa chỉ email luôn được kiểm tra kỹ, và email luôn nên được chuyển tiếp (forward) thay vì trả lời (reply) (điều này đảm bảo địa chỉ email được gõ thủ công).
- Dùng email tùy chỉnh: Tài khoản email miễn phí tiện lợi nhưng cũng lý tưởng cho những ai muốn bắt đầu lừa đảo BEC.
- Đăng ký tên miền tương tự: Đăng ký tên miền tương tự với tên miền doanh nghiệp. Điều này ngăn chặn kẻ tấn công làm vậy và cố gắng mạo danh bạn.
- Đừng chia sẻ quá nhiều: Tránh chia sẻ chi tiết không cần thiết về doanh nghiệp trực tuyến. Nhiều chi tiết cần cho tấn công BEC thường tìm thấy trên trang mạng xã hội của công ty.
- Dùng mật khẩu mạnh và 2FA: Quy định mật khẩu nghiêm ngặt và thực thi xác thực hai yếu tố (2FA) sẽ khiến tài khoản email doanh nghiệp khó bị hack hơn nhiều.
- Dùng phần mềm diệt virus: Đây là cách dễ nhất ngăn chặn lừa đảo BEC dựa trên malware. Diệt virus có thể ngăn chặn cả keylogger và một số dạng phishing.
- Luôn xác minh thanh toán: Làm thủ tục vận hành tiêu chuẩn để xác minh chi tiết chuyển khoản wire transfer trước khi diễn ra. Ví dụ, yêu cầu tất cả nhân viên xác nhận thanh toán qua điện thoại (dùng số đã được kiểm tra kỹ).
Bảo Vệ Doanh Nghiệp Khỏi Lừa Đảo BEC
Khi tần suất lừa đảo BEC tiếp tục tăng, việc các công ty nhận ra mối đe dọa chúng tạo ra trở nên quan trọng ngày càng hơn. Bất kỳ doanh nghiệp nào, bất kể quy mô, đều có thể bị tấn công. Và với chi phí trung bình cao, đó không phải điều đa số có thể coi nhẹ.
Các bước để tránh tấn công như vậy phần lớn đơn giản. Và nửa cuộc chiến đơn giản là biết rằng những tấn công như vậy có thể xảy ra và chúng xảy ra thường xuyên.