Компрометирането на бизнес имейли (BEC) продължава да се развива благодарение на усъвършенстваното таргетиране и социалния инженеринг, като през последните 10 години е струвало на бизнеса в световен мащаб над 50 млрд. долара – цифра, която отразява ръст на бизнес загубите от BEC от 17% на годишна база през 2022 г., според ФБР.

Докладът на Центъра за оплаквания от престъпления в интернет (IC3) за 2022 г. относно BEC установи, че американският бизнес е загубил над 17 млрд. долара от този вид измами между октомври 2013 г. и декември 2022 г., а глобалният бизнес е преброил загуби от близо 51 млрд. долара за същия период, според докладите, които IC3 получава от организациите.

Броят на организациите, които са съобщили, че са станали жертва на BEC само в САЩ през тези години, е 137, 601 във всички 50 щата – число, което вероятно е по-високо, тъй като представлява само инцидентите, за които е съобщено на ФБР, казват специалистите по сигурността. Това означава, че общият размер на загубите, които се дължат на BEC за компаниите не само в САЩ, но и в световен мащаб, вероятно е много по-висок от отчетените цифри, казват те.

Въпреки цялостната повишена осведоменост и защита на организациите срещу BEC, който е вектор на атака от повече от десетилетие, той продължава да представлява процъфтяваща киберпрестъпна дейност.

Специалистите по сигурността обясняват продължаващата доминация на BEC в пейзажа на киберзаплахите с редица причини. Основната от тях е, че нападателите стават все по-изобретателни в това как да създават социално инженерство, така че съобщенията да изглеждат автентични за потребителите, което е ключът към успеха на тази измама, казва пред Dark Reading Орен Фалковиц, главен директор по сигурността в Cloudflare.

„Успешният BEC не се състои в това да бъдеш умен, а в това да бъдеш автентичен и да постигнеш легитимност в очите на жертвата“, казва Фалковиц в имейл. „Част от това да изглеждаш легитимен е да следиш отблизо физическите събития и тенденциите в новините, които в крайна сметка се използват и намират отзвук в киберпространството.“

Един пример за това е призивът на IC3 за увеличаване на атаките срещу сектора на недвижимите имоти, който през 2022 г. е отчел загуба от BEC в размер на 446,1 млн. долара. Макар че това представлява само леко увеличение спрямо отчетената загуба от 430,5 млн. долара от този сектор през 2021 г., тази цифра показва почти двойно увеличение на загубите от BEC в сектора на недвижимите имоти спрямо 2020 г., през която организациите за недвижими имоти са отчели загуба от 258,4 млн. долара, според IC3.

Този скок на BEC атаките в сектора на недвижимите имоти изглежда продължава да се дължи на борбите в този сектор, които заплахите са забелязали и се възползват от тях, казва Фалковиц. „BEC, които имат връзка със сектора на недвижимите имоти в тазгодишния доклад, могат да бъдат проследени до кризата в търговските недвижими имоти и промяната на предназначението на градовете“, казва той.

Тих, но смъртоносен

BEC е вид атака, при която участниците  използват измама и въображение, за да компрометират легитимни бизнес или лични имейл акаунти, за да извършат неразрешен трансфер на средства или да измамят жертвата по друг начин, като получат достъп до лична информация, свързана с финансови сметки.

Поради присъщото си естество BEC е добре известен с това, че причинява големи финансови загуби не само на компании, но и на физически лица. Въпреки това, нарастването на известността на ransomware през последните няколко години позволи на нападателите на BEC да летят донякъде под радара, като същевременно значително увеличиха въздействието си, което е още един фактор, допринасящ за нарастването му, отбелязва един експерт по сигурността.

„През последните две години ransomware заемаше челните страници на вестниците, а BEC тихо каза „дръж ми бирата“, като надмина себе си като най-плодотворната и най-скъпа форма на киберпрестъпление“, казва Мика Аалто, съосновател и главен изпълнителен директор на фирмата за повишаване на осведомеността за корпоративната сигурност Hoxhunt.

Той цитира доклада DBIR на Verizon, публикуван миналата седмица, който установява, че разходите и случаите на BEC са се удвоили през 2022 г. Всъщност фокусът на индустрията за сигурност върху ransomware може всъщност да е допринесъл за увеличаването на BEC през този период, тъй като правоприлагащите органи преследват банди за ransomware, налагат санкции и водят до затягане на политиките за киберзастраховане, докато „BEC остава нискорисков и високодоходен“, казва Аалто.

Специалистите по сигурността казват, че възходът на социалното инженерство като успешна тактика на киберпрестъпниците също допринася за коварния и силен характер на BEC. Всъщност друга забележителна констатация в доклада на Verizon DBIR е, че фишингът и „претекстът“ – т.е. представянето за лице, което често се използва при атаките на BEC – доминираха на сцената на социалното инженерство през миналата година. През 2022 г. игрите с претекст – които допринасят за възприемането на легитимността на BEC атаките – почти са се удвоили в сравнение с предходната година и сега представляват 50 % от всички социално-инженерни атаки, се посочва в доклада.

„Социалното инженерство е свързано с доверието, а като получи достъп до нечий акаунт – обикновено някой на ръководна позиция – и се маскира като този човек, нападателят понижава изключително много бариерата на доверието, докато манипулира жертвите в неразумни действия“, отбелязва Аалто.

Как предприятието може да реагира

Продължаващият успех на BEC означава, че тези атаки ще останат, което означава, че организациите ще бъдат принудени да реагират с още по-силни мерки за сигурност, твърдят експерти по сигурността.

„Проблемът няма да изчезне“, твърди Авкаш Катирия, старши вицепрезидент по изследванията и иновациите във фирмата за управление на разузнаването на заплахи Cyware. „Макар че предприятията са постигнали значителен напредък, те все още са уязвими към социалното инженерство, докато по-малките предприятия и физическите лица са обект на все по-усъвършенствани измами.“

Поради ключовия фактор за успех на тези измами – използването на човешкия фактор и слабите места в инфраструктурата за сигурност на организацията – е „особено трудно да се защитиш срещу тях само с помощта на традиционните мерки за сигурност“, отбелязва Игор Волович, вицепрезидент по стратегията за съответствие във фирмата за съответствие Qmulos.

Поради тази причина той съветва организациите да преминат към непрекъснато наблюдение и оценка на вътрешните си механизми за контрол на сигурността в реално време, което ще им позволи „своевременно да откриват аномалии или провали в контрола, които могат да доведат до успешни инциденти с BEC“, казва той.

„Този подход осигурява на организациите гъвкавост, за да реагират бързо на възникващите заплахи, намалявайки прозореца на възможност за измамниците да се възползват от уязвимостите, сближавайки сроковете между сигурността, съответствието и управлението на риска, за да се получи единна картина в реално време на рисковата позиция на предприятието“, казва Волович.

Генериращият изкуствен интелект – който нападателите на BEC все по-често използват под формата на ChatGPT и други технологии, за да си помагат в изготвянето на социално инженерни съобщения – също може да бъде използван от организациите за защита от атаки, казва Патрик Харр, главен изпълнителен директор на антифишинг фирмата SlashNext.

„Професионалистите в областта на ИТ сигурността трябва да внедрят възможности на изкуствения интелект, които съчетават обработка на естествен език, компютърно зрение и машинно обучение с графики на взаимоотношенията и дълбока контекстуализация, за да осуетят сложни многоканални атаки със съобщения“, казва той.

Организациите трябва също така да засилят усилията за обучение на служителите, за да им помогнат да разпознават злонамерените кампании и съобщения – които обикновено използват фалшиви профили в социалните медии, блогове, имейл акаунти и други подобни, за да установят доверие и връзка – използвани от нападателите на BEC, добавя Харр.

Всъщност, тъй като BEC атаките обикновено произлизат от фишинг кампании или методи на социално инженерство, „от първостепенно значение е организациите да насърчават стабилна култура на обучение за киберсъзнание“, съгласява се Джей Гохил, мениджър по риска в Cowbell, доставчик на киберзастраховки, базирани на изкуствен интелект.