Dollármilliárdok úsznak el a felsővezetős emailes átveréseken

Az FBI adatai szerint két és fél év alatt több mint kétmilliárd dollárt loptak el így cégektől. Tavaly év eleje óta a sikeres próbálkozások száma 270 százalékkal emelkedett.

Hatalmas összegeket akasztanak le a cégek felsővezetőit, ügyvédeit, megbízható státuszú beszállítóit megszemélyesítő emailes átverések végrehajtói - derül ki az FBI által kiadott figyelmeztetésből. A nyomozóirodához befutott jelentések alapján 2013 októbere és 2016 feburárja között 79 országban 17 642 vállalat esett áldozatul ilyen bűnözői technikának, a kár összege pedig meghaladja a 2,3 milliárd(!) dollárt, azaz mintegy 630 milliárd forintot.

A hagyományos védelem szinte semmit nem ér

Ahogy az ismert biztonsági blog, a Krebs on Security szerzője, Brian Krebs is megjegyzi, az általánosságban bevetett IT-biztonsági védelmek az ilyen esetekben nagyon keveset érnek. A bűnözők ritkán folyamodnak olyan adatszerzési módszerekhez, amelyek fennakadnak a határvédelmi eszközökön vagy a viselkedéselemzés-alapú értesítési rendszereken.

Ugyan élnek célzott phishinggel is, és így esetenként hozzáférést tudnak szerezni a valódi email fiókokhoz, de az esetek többségében súrlódásmentesen gyűjtenek információt: például nyilvánosan elérhető céges weboldalakról, és egyúttal időt szánnak a belső kommunikációs kultúra kifigyelésére is. Nem elképzelhetetlen, hogy a nagyobb összegű csalásoknál rendre belső segítségük is akad, aki súgni tud a kiemelt célpontokról, a kapcsolati hálóról, a kommunikációs szokásokról.

Ha be is jutnak egy-egy fiókba, olyan információk után kutatnak, melyek pénzügyi tranzakciókkal kapcsolatosak - ha nincs valamilyen riasztórendszer, ami a szokásostól eltérő geolokációs vagy időbeli felhasználói (bejelentkezési) aktivitásra utal, a fiókon belüli adatgyűjtés már senkinek sem fog feltűnni. Általános eljárás, hogy a kiválasztott felsővezető vagy beszállító email címéhez nagyon hasonló címről írnak - ha sikerül jól megfogalmazni az átutalást kérő levelet, egy nagyobb cégnél a napi levélforgalom sűrűjében könnyedén átcsúszhat egy-két karakternyi eltérés.

^{Forrás: PhisMe}

Az biztos, hogy a bűnözők olyan vállalatokat céloznak meg, ahol a belső jóváhagyási folyamatok is hiányosak. A legtöbb nagyvállalatnál a több ezer dollárnál nagyobb összegű utalásoknak jellemzően többlépcsős jóváhagyási folyamaton kell átmennie, de persze ez sem jelent tökéletes védelmet. Nem ritka, hogy a jóváhagyási láncban részt vevők napi több tíz kérelmet kapnak - a megszokás, a kollégákba vetett bizalom, a sietség, egy pillanatnyi oda nem figyelés könnyen lenullázhatja ezt a védelmi szintet.

Az FBI szerint a kifinomult csalások száma tavaly év eleje óta 270 százalékkal ugrott. Az áldozatok átlagosan 25-75 ezer dollárt veszítenek, de előfordul, hogy a veszteség több millió vagy akár több tízmillió dollárra rúg.

A tanulság? Az IT-biztonsági védelemben még mindig az emberi tényező a leggyengébb láncszem, a célzott emailes támadások, csalások elleni rendszeresen ismétlődő oktatást és figyelemfelkeltést egyszerűen nem lehet fél vállról venni. Az ilyen híreket olvasva a legtöbbek úgy állnak hozzá, hogy velük/náluk egy ilyen próbálkozás úgyse menne át – a számok ezt élesen cáfolják.

forrás: hwsw.hu