Các doanh nghiệp trung bình sử dụng email cho mọi thứ, từ hỗ trợ khách hàng đến nhân sự. Theo đó, khi một cuộc tấn công mạng nhắm vào một doanh nghiệp, email là nơi hợp lý để nó bắt đầu. Một ví dụ về điều này là lừa đảo Thỏa hiệp Email Doanh nghiệp (BEC).
Một trò lừa đảo BEC sử dụng kết hợp kỹ thuật xã hội và định hướng sai để khuyến khích nhân viên bắt đầu gửi chuyển khoản ngân hàng cho những người hoàn toàn xa lạ. Đương nhiên, đây cũng là một trong những trò lừa đảo đắt giá nhất mà một doanh nghiệp có thể trở thành nạn nhân.
Vậy chính xác thì BEC lừa đảo là gì và nó hoạt động như thế nào? Làm thế nào bạn có thể tránh trở thành nạn nhân của một?
Lừa đảo Thỏa hiệp Email Doanh nghiệp (BEC) là gì?
Lừa đảo BEC là khi kẻ tấn công sử dụng email để mạo danh người khác trong nỗ lực trích xuất chuyển khoản ngân hàng hoặc tài nguyên khác từ một doanh nghiệp.
Nó còn được gọi là lừa đảo Man-in-the-Email. Lừa đảo BEC tương tự như các cuộc tấn công Man-in-the-middle ở chỗ cả hai đều dựa vào việc nạn nhân tin rằng họ đang giao tiếp với người khác.
Lừa đảo BEC có hiệu quả vì nạn nhân thường có mối quan hệ trước đó với người bị mạo danh.
Chúng cũng là một vấn đề phổ biến. FBI báo cáo rằng các vụ lừa đảo BEC đã tiêu tốn của các doanh nghiệp Mỹ 1,8 tỷ đô la chỉ trong năm 2020.
Lừa đảo BEC hoạt động như thế nào?
Đầu tiên, kẻ tấn công chọn một công ty để nhắm mục tiêu. Họ có thể đánh vào một ngành cụ thể hoặc chọn một công ty chỉ đơn giản là có bảo mật kém.
Sau đó, họ sẽ nghiên cứu kỹ lưỡng về công ty đó bằng cách sử dụng thông tin công khai như trang web của doanh nghiệp và / hoặc các tài khoản mạng xã hội.
Trong giai đoạn này, họ chủ yếu tìm kiếm người để đóng giả. Nhưng họ cũng đang cố gắng tìm hiểu cách một công ty hoạt động và do đó loại chiến thuật nào có thể thành công.
Sau khi quyết định ai sẽ mạo danh, họ sẽ hack tài khoản email của người đó hoặc sử dụng giả mạo tên miền để tạo một địa chỉ email trông rất giống nhau.
Bước cuối cùng là sử dụng tài khoản email đó để yêu cầu chuyển khoản ngân hàng hoặc một số phản hồi thuận lợi khác. Các mục tiêu tiềm năng bao gồm nhân viên, khách hàng và nhà cung cấp.
Ai bị BEC Lừa đảo nhắm mục tiêu?
Lừa đảo BEC có thể xảy ra với bất kỳ doanh nghiệp nào. Mặc dù các cuộc tấn công vào các doanh nghiệp lớn có tiềm năng sinh lợi nhiều hơn, nhưng các cuộc tấn công vào các doanh nghiệp nhỏ hơn thường dễ thực hiện hơn.
Với điều kiện một doanh nghiệp đủ thành công để tiền mặt được chuyển vào và chuyển ra hàng tháng, thì mối đe dọa về BEC là rất có thật.
Ví dụ về Lừa đảo BEC
Có một số trò gian lận BEC khác nhau. Tuy nhiên, hầu hết sẽ thuộc ít nhất một trong các loại sau.
Gian lận Giám đốc điều hành
Loại lừa đảo BEC này liên quan đến việc kẻ tấn công mạo danh chủ sở hữu doanh nghiệp hoặc Giám đốc điều hành. Sau đó, kẻ tấn công sẽ liên hệ với ai đó cấp dưới trong công ty và yêu cầu thực hiện chuyển khoản ngân hàng hoặc hình thức thanh toán khác.
Thỏa hiệp tài khoản
Lừa đảo BEC không chỉ giới hạn ở những nhân viên cấp cao. Bất kỳ nhân viên nào cũng có thể bị tấn công tài khoản email của họ và sau đó được sử dụng mà họ không hề hay biết. Tội phạm tài chính sau đó có thể được thực hiện dưới tên 'doanh nghiệp bị tấn công.
Bogus Hóa đơn
Một doanh nghiệp có thể trở thành nạn nhân của một vụ lừa đảo hóa đơn không có thật theo hai cách. Họ có thể nhận được một hóa đơn yêu cầu thanh toán từ một nhà cung cấp được cho là. Hoặc tài khoản email của nhân viên có thể được sử dụng để gửi một tài khoản cho khách hàng với các chi tiết ngân hàng đã thay đổi. Các cuộc tấn công này thường nhắm vào các doanh nghiệp hoạt động trên toàn cầu.
Mạo danh luật sư
Bằng cách giả làm luật sư, những kẻ tấn công liên hệ với nhân viên để yêu cầu thanh toán và gây áp lực buộc người nhận phải trả lời các email khác.
Đánh cắp dữ liệu
Một số trò gian lận BEC được thiết kế để ăn cắp dữ liệu hơn là tiền mặt. Sau đó, thông tin bị đánh cắp có thể được bán hoặc sử dụng cho mọi thứ, từ tống tiền đến các cuộc tấn công BEC bổ sung.
Cách Tránh Lừa đảo BEC
Thủ phạm của các vụ lừa đảo BEC chủ yếu dựa vào thực tế là nhiều doanh nghiệp hoặc không biết về sự tồn tại của họ hoặc hoàn toàn không chuẩn bị cho sự xuất hiện của họ.
Dưới đây là một số mẹo để đảm bảo rằng doanh nghiệp của bạn không phải là một trong số đó.
- Đào tạo nhân viên: Nếu một nhân viên sử dụng email như một phần của công việc kinh doanh của bạn, họ nên biết về các trò gian lận của BEC. Cũng nên cung cấp khóa đào tạo thảo luận về cả lừa đảo và kỹ thuật xã hội.
- Thay đổi cách xử lý email: Các giao thức nên được thiết lập để sử dụng email. Ví dụ:các tệp đính kèm phải được xử lý rất cẩn thận, địa chỉ email phải luôn được kiểm tra kỹ lưỡng và email phải luôn được chuyển tiếp thay vì trả lời (điều này đảm bảo rằng địa chỉ email được nhập theo cách thủ công).
- Sử dụng email tùy chỉnh: Tài khoản email miễn phí rất tiện lợi nhưng chúng cũng rất lý tưởng cho những ai muốn bắt đầu lừa đảo BEC.
- Đăng ký các miền tương tự: Đăng ký các miền tương tự với miền của doanh nghiệp của bạn. Điều này sẽ ngăn những kẻ tấn công làm như vậy và cố gắng mạo danh bạn.
- Không chia sẻ quá mức: Tránh chia sẻ thông tin chi tiết không cần thiết về doanh nghiệp của bạn trực tuyến. Nhiều chi tiết cần thiết cho một cuộc tấn công BEC thường có thể được tìm thấy trên trang truyền thông xã hội của một công ty.
- Sử dụng mật khẩu mạnh và 2FA: Các quy định nghiêm ngặt về mật khẩu và việc thực thi xác thực hai yếu tố (2FA) sẽ khiến tài khoản email doanh nghiệp của bạn khó bị tấn công hơn nhiều.
- Sử dụng phần mềm chống vi-rút: Đây là cách dễ nhất để ngăn chặn các trò gian lận BEC dựa trên phần mềm độc hại. Phần mềm chống vi-rút có thể được sử dụng để ngăn chặn cả keylogger và một số hình thức lừa đảo.
- Luôn xác minh các khoản thanh toán: Làm cho nó trở thành một quy trình hoạt động tiêu chuẩn để xác minh các chi tiết của chuyển khoản ngân hàng trước khi chúng xảy ra. Ví dụ:yêu cầu tất cả nhân viên xác nhận các khoản thanh toán qua điện thoại (sử dụng một số đã được kiểm tra kỹ lưỡng).
Bảo vệ Doanh nghiệp của Bạn khỏi Lừa đảo BEC
Khi tần suất lừa đảo BEC tiếp tục tăng, các công ty ngày càng trở nên quan trọng để nhận ra mối đe dọa mà họ gây ra. Bất kỳ doanh nghiệp nào, bất kể quy mô, có thể trở thành nạn nhân của một cuộc tấn công như vậy. Và với chi phí trung bình cao, đó không phải là thứ mà hầu hết mọi người đều có thể xem nhẹ.
Các bước thực hiện để tránh một cuộc tấn công như vậy phần lớn là đơn giản. Và một nửa trận chiến chỉ đơn giản là biết rằng những cuộc tấn công như vậy có thể xảy ra và chúng thường xuyên xảy ra.