kampania BEC

Kampania BEC to skoordynowany atak podszywający się pod pracownika lub kontrahenta w celu wyłudzenia przelewu.

Na czym polega kampania BEC

Kampania BEC, czyli Business Email Compromise, to skoordynowane oszustwo wykorzystujące pocztę elektroniczną, komunikatory lub inne kanały komunikacji do podszywania się pod pracownika, przełożonego, dostawcę albo kontrahenta. Celem jest doprowadzenie do wykonania konkretnej czynności, najczęściej przelewu na rachunek wskazany przez napastnika. Atak nie musi polegać na włamaniu do skrzynki. Często wykorzystuje fałszywy adres podobny do prawdziwego, domenę z literówką, przejęte konto albo wiadomość przygotowaną na podstawie wcześniej zebranych informacji o organizacji.

Napastnik może najpierw prowadzić rozpoznanie: obserwować publiczne informacje o pracownikach, stanowiskach, dostawcach i terminach płatności, a następnie rozpocząć korespondencję w odpowiednim momencie. Wiadomość może zawierać prośbę o pilną zmianę rachunku bankowego, przesłanie dokumentu, opłacenie faktury lub zachowanie sprawy w tajemnicy. Typową cechą BEC jest wiarygodny kontekst i nacisk na odstąpienie od zwykłej procedury weryfikacji.

Podszywanie się pod nadawcę i przejęcie korespondencji

Jednym z wariantów BEC jest spoofing, czyli sfałszowanie widocznego adresu nadawcy lub nazwy wyświetlanej w programie pocztowym. Sama nazwa kontaktu nie potwierdza tożsamości osoby wysyłającej wiadomość. Trzeba sprawdzić pełny adres, domenę oraz nagłówki wiadomości. Domena firma-example.com może zostać zastąpiona adresem różniącym się jednym znakiem, inną końcówką albo znakiem o podobnym wyglądzie. Taki adres może przejść niezauważony przy szybkim odczytywaniu poczty.

Groźniejszy scenariusz występuje po przejęciu prawdziwego konta pocztowego. Wtedy wiadomości mogą być wysyłane z autentycznej domeny, pojawiać się w istniejącym wątku i zawierać informacje znane obu stronom. Napastnik może również ustawić regułę automatycznego przekazywania poczty, przenieść wybrane wiadomości do archiwum albo usuwać odpowiedzi dotyczące płatności. Przy analizie incydentu istotne są więc nie tylko treść wiadomości, lecz także historia logowań, aktywne sesje, reguły skrzynki oraz zmiany ustawień konta.

Sygnalizowanie fałszywej wiadomości w systemie pocztowym

Serwery pocztowe mogą korzystać z mechanizmów SPF, DKIM i DMARC. SPF wskazuje, z jakich serwerów pocztowych dana domena może wysyłać wiadomości. DKIM dodaje do wiadomości podpis kryptograficzny, który pozwala odbiorcy sprawdzić, czy wiadomość pochodzi z uprawnionego systemu i czy jej treść nie została zmieniona w drodze. DMARC określa sposób postępowania z wiadomościami, które nie przechodzą kontroli SPF lub DKIM oraz nie są zgodne z domeną widoczną w polu nadawcy.

Wynik tych kontroli można znaleźć w nagłówkach, między innymi w polach Authentication-Results, Received-SPF i DKIM-Signature. Brak błędu uwierzytelniania nie dowodzi jednak, że wiadomość jest bezpieczna. Napastnik może wysłać poprawnie podpisaną wiadomość z własnej domeny albo użyć wcześniej przejętej skrzynki. Dlatego analiza powinna obejmować zgodność domeny, adres odpowiedzi, łańcuch serwerów Received, linki, załączniki i zgodność żądania z obowiązującą procedurą płatności.

Weryfikacja przelewu po otrzymaniu podejrzanej wiadomości

Najważniejszym zabezpieczeniem przed BEC jest niezależne potwierdzenie dyspozycji finansowej. Zmiany rachunku bankowego, danych odbiorcy lub osoby zatwierdzającej płatność należy sprawdzać innym kanałem niż ten, który został użyty w podejrzanej wiadomości. Numer telefonu powinien pochodzić z wcześniej znanej książki kontaktowej albo z umowy, a nie z treści e-maila. Sama odpowiedź na wiadomość może trafić do napastnika, jeżeli przejął konto lub kontroluje część korespondencji.

W przypadku podejrzenia przejęcia skrzynki trzeba zabezpieczyć konto, wylogować nieznane sesje, zmienić hasło z zaufanego urządzenia, sprawdzić reguły pocztowe oraz unieważnić nieznane tokeny i aplikacje z dostępem do poczty. Uwierzytelnianie wieloskładnikowe ogranicza ryzyko wykorzystania samego hasła, choć nie zastępuje kontroli przelewu. Należy zachować oryginalną wiadomość wraz z nagłówkami, nie otwierać podejrzanych załączników i nie klikać linków prowadzących do formularzy logowania. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z działaniem systemu, przeglądarki oraz oprogramowania używanego na takim urządzeniu.