spoofing BEC

Spoofing BEC to podszycie się pod przełożonego lub kontrahenta w celu wyłudzenia przelewu firmowego.

Na czym polega spoofing BEC

Spoofing BEC (Business Email Compromise) to technika oszustwa, w której napastnik podszywa się pod osobę mającą wpływ na decyzje finansowe albo pod zaufanego kontrahenta. Celem jest nakłonienie pracownika do wykonania przelewu, zmiany rachunku bankowego na fakturze, przekazania dokumentów lub ujawnienia informacji potrzebnych do dalszego ataku. Wiadomość może wyglądać jak zwykła korespondencja służbowa, ponieważ zawiera poprawne logo, podpis, stopkę firmową i nawiązania do rzeczywistych projektów.

Podszycie nie zawsze oznacza przejęcie prawdziwej skrzynki pocztowej. W prostszym wariancie przestępca rejestruje domenę podobną do używanej przez firmę albo modyfikuje nazwę wyświetlaną nadawcy. Przykładowo adres różniący się jedną literą może na pierwszy rzut oka przypominać adres dostawcy. W innych przypadkach atak rozpoczyna się od kradzieży danych logowania do poczty, a następnie napastnik korzysta z prawdziwego konta i prowadzi korespondencję z jego autentycznego adresu.

Mechanizmy techniczne wykorzystywane przez napastników

Jednym ze sposobów fałszowania nadawcy jest zmiana pola From w wiadomości SMTP. Samo pole widoczne w programie pocztowym nie jest wystarczającym dowodem autentyczności, ponieważ oprogramowanie pocztowe może wyświetlać nazwę nadawcy niezależnie od rzeczywistego źródła połączenia. Serwery pocztowe mogą jednak sprawdzać mechanizmy uwierzytelniania domeny: SPF, DKIM i DMARC. SPF wskazuje dozwolone serwery wysyłające dla domeny, DKIM dodaje kryptograficzny podpis do wiadomości, a DMARC określa sposób oceny zgodności domeny oraz możliwe działania wobec wiadomości niespełniających reguł.

W praktyce spoofing BEC może wykorzystywać także domeny homograficzne, literówki i podobne poddomeny. Nazwa może zawierać znak wyglądający podobnie do innego znaku albo dodatkowy element, który pozostaje niezauważony w skróconym widoku aplikacji. Napastnicy posługują się również przekierowaniem odpowiedzi, zmianą adresu w polu Reply-To, fałszywymi załącznikami i odnośnikami do stron logowania. Wiadomość może być częścią dłuższej rozmowy, jeśli atakujący wcześniej uzyskał dostęp do skrzynki lub przechwycił fragmenty korespondencji.

Jak rozpoznać próbę wyłudzenia przelewu

Sygnałem ostrzegawczym jest prośba o pilną płatność, zachowanie tajemnicy, pominięcie standardowej akceptacji albo zmianę rachunku bez niezależnego potwierdzenia. Podejrzane są również wiadomości wysłane poza zwykłymi godzinami pracy, nagła zmiana stylu wypowiedzi, nietypowy podpis, błędna domena oraz presja na natychmiastowe kliknięcie odnośnika. Sama poprawna gramatyka, znajomość nazw pracowników czy obecność prawdziwych danych na fakturze nie potwierdzają autentyczności wiadomości.

Weryfikacja powinna odbywać się innym kanałem niż ten wskazany w podejrzanej wiadomości. Numer telefonu należy pobrać z wcześniej zweryfikowanej książki kontaktów albo z umowy, a nie z treści e-maila. Przed przelewem warto porównać numer rachunku z wcześniejszymi dokumentami i wymagać zatwierdzenia przez drugą osobę. W systemie pocztowym można sprawdzić pełne nagłówki wiadomości, między innymi pola Return-Path, Received, wynik SPF, DKIM i DMARC oraz rzeczywistą domenę odnośnika. Nagłówki pomagają w analizie, ale nie zastępują procedury potwierdzenia płatności.

Co zrobić po wykryciu spoofingu BEC

Jeżeli przelew został już zlecony, należy natychmiast skontaktować się z bankiem i poprosić o próbę wstrzymania albo odwołania transakcji, a następnie zabezpieczyć wiadomości, nagłówki, załączniki, adresy domen, dane rachunku i informacje o czasie zdarzenia. Nie powinno się usuwać korespondencji przed wykonaniem kopii dowodowej. W przypadku podejrzenia przejęcia konta trzeba zmienić hasło z bezpiecznego urządzenia, unieważnić aktywne sesje, sprawdzić reguły przekazywania poczty i dodatkowe adresy odzyskiwania oraz włączyć uwierzytelnianie wieloskładnikowe.

Na laptopie lub komputerze PC można przeprowadzić kontrolę pod kątem złośliwego oprogramowania, nieznanych rozszerzeń przeglądarki, zapisanych sesji, podejrzanych programów uruchamianych wraz z systemem i zmian w konfiguracji DNS. Jeżeli urządzenie było używane do logowania do skrzynki, sama zmiana hasła może być niewystarczająca, gdy na komputerze działa program przechwytujący dane. Analiza powinna obejmować także inne urządzenia i konta używane przez osobę, której korespondencję wykorzystano w ataku. Po incydencie warto zaktualizować procedury akceptacji przelewów, reguły filtrowania poczty oraz szkolenia dotyczące rozpoznawania fałszywych domen i próśb o zmianę rachunku.