Επιθέσεις συμβιβασμού μέσω email για επιχειρήσεις στοχεύουν πλέον μέσω μηνυμάτων SMS

Επιθέσεις συμβιβασμού μέσω email για επιχειρήσεις στοχεύουν πλέον μέσω μηνυμάτων SMS

Dezember 19, 2022 0 Von admin

Δεν περιορίζεται πλέον στο email, οι επιθέσεις BEC χτυπούν τους χρήστες μέσω μηνυμάτων κειμένου σε μια προσπάθεια κλοπής χρημάτων ή άλλων τύπων απάτης, λέει ο Trustwave.

Ένα άτομο που λαμβάνει ένα μήνυμα απάτης BEC μέσω SMS.
Εικόνα: γράμμα/Adobe Stock

Μια επίθεση συμβιβασμού για επιχειρηματικό email είναι ένας τύπος απάτης που στοχεύει στους υπαλλήλους ενός οργανισμού, κατά την οποία ο εισβολέας υποδύεται ένα ανώτατο στέλεχος ή άλλο έμπιστο άτομο που σχετίζεται με την επιχείρηση. Ο απατεώνας συνήθως προσπαθεί να ξεγελάσει το θύμα για να βάλει χρήματα, να αλλάξει έναν λογαριασμό μισθοδοσίας ή να προβεί σε άλλη ενέργεια που του επιτρέπει να κλέψει κεφάλαια της εταιρείας. Ενώ οι επιθέσεις BEC γίνονται συνήθως μέσω email, τώρα χρησιμοποιούν μηνύματα κειμένου SMS για να χτυπήσουν τους παραλήπτες. ΕΝΑ πρόσφατη έκθεση από την εταιρεία κυβερνοασφάλειας Trustwave συζητά την αύξηση των επιθέσεων BEC που βασίζονται σε SMS και προσφέρει συμβουλές για τον τρόπο καταπολέμησής τους.

ΒΛΕΠΩ: Ασφαλίστε εταιρικά email με ανίχνευση BEC βάσει πρόθεσης (TechRepublic)

Πώς λειτουργούν οι επιθέσεις BEC που βασίζονται σε SMS

Οι καμπάνιες BEC που βασίζονται σε SMS άρχισαν στην πραγματικότητα να εμφανίζονται στην επιφάνεια το 2019 με αναφορές για μηνύματα κειμένου που αποστέλλονται σε κινητά τηλέφωνα. Συχνά η επίθεση BEC ξεκινά με ένα email μέσω του οποίου ο απατεώνας ζητά τον αριθμό τηλεφώνου του θύματος. Με αυτές τις πληροφορίες, ο κυβερνοεγκληματίας στη συνέχεια μεταβαίνει στα SMS ως την κύρια μορφή επικοινωνίας.

Το πρώτο μήνυμα είναι συνήθως σχεδιασμένο για να δημιουργήσει μια σχέση με τον παραλήπτη για να κερδίσει την εμπιστοσύνη του. Το μήνυμα μπορεί επίσης να μεταφέρει μια αίσθηση επείγουσας ανάγκης για να προτρέψει το θύμα να ενεργήσει γρήγορα. Για να αποφύγει τον εντοπισμό, ο εισβολέας μπορεί να πει ότι βρίσκεται σε μια σύσκεψη ή σε μια κλήση συνδιάσκεψης και δεν μπορεί να δεχτεί τηλεφωνικές κλήσεις.

Αφού το θύμα απαντήσει στο μήνυμα, ο εισβολέας ξεκινά την απάτη, που συνήθως επικεντρώνεται σε μια οικονομική συναλλαγή. Σε ένα δημοφιλές είδος απάτης, ζητείται από τον παραλήπτη να αγοράσει μια δωροκάρτα με την υπόσχεση ότι θα επιστραφεί. Εάν αυτό το τέχνασμα πετύχει, ο εισβολέας λέει στο θύμα να του στείλει τους κωδικούς της δωροκάρτας μέσω μιας εικόνας της γρατσουνισμένης κάρτας.

Πώς οι εισβολείς αποκτούν αριθμούς κινητών τηλεφώνων

Πέρα από τη χρήση μιας αρχικής συνομιλίας μέσω email, οι εισβολείς μπορούν να αποκτήσουν αριθμούς κινητών τηλεφώνων με άλλα μέσα. Οι αριθμοί τηλεφώνου συχνά διαρρέουν σε παραβιάσεις δεδομένων μαζί με το όνομα, τη διεύθυνση ηλεκτρονικού ταχυδρομείου και άλλες σχετικές προσωπικές πληροφορίες ενός ατόμου. Οι αριθμοί τηλεφώνου που κοινοποιούνται σε ιστότοπους κοινωνικής δικτύωσης μπορούν να διαγραφούν από τους εισβολείς είτε μέσω μη αυτόματων διαδικασιών είτε μέσω της χρήσης ρομπότ.

Οι ιστότοποι αναζήτησης ατόμων παρέχουν έναν άλλο τρόπο για τους εγκληματίες του κυβερνοχώρου να αποκτήσουν αριθμούς τηλεφώνου. Οι μεσίτες δεδομένων συλλέγουν και πωλούν προσωπικές πληροφορίες σχετικά με τους καταναλωτές, οι οποίες στη συνέχεια είναι διαθέσιμες σε αυτούς τους ιστότοπους αναζήτησης δωρεάν ή σε μικρή τιμή. Μια άλλη μέθοδος για να καταγράψετε έναν αριθμό τηλεφώνου είναι μέσω μιας απάτης θύρας εξόδου, γνωστής και ως εναλλαγή SIM. Σε αυτήν την περίπτωση, ο εισβολέας παρουσιάζεται ως θύμα και κανονίζει να μεταφερθεί ο αριθμός τηλεφώνου του θύματος σε διαφορετικό πάροχο και λογαριασμό που χρησιμοποιείται από αυτόν τον εισβολέα.

Συστάσεις για προστασία από επιθέσεις BEC

Για να βοηθήσει στην προστασία των οργανισμών από επιθέσεις BEC, η Trustwave προσφέρει τις ακόλουθες συμβουλές σε επαγγελματίες ασφαλείας και χρήστες.

Προσφέρετε εκπαίδευση ευαισθητοποίησης για την ασφάλεια

Τα μηνύματα BEC έχουν σχεδιαστεί για να εμποδίζουν τα φίλτρα ανεπιθύμητης αλληλογραφίας και να εκμεταλλεύονται τις ανθρώπινες αδυναμίες. Ως εκ τούτου, οι επαγγελματίες πληροφορικής και ασφάλειας θα πρέπει να προσφέρουν κατάλληλη εκπαίδευση στους υπαλλήλους σχετικά με τον τρόπο αναγνώρισης ύποπτων ή κακόβουλων email και μηνυμάτων κειμένου. Οι χρήστες θα πρέπει να γνωρίζουν ποια βήματα πρέπει να λάβουν και με ποιον να επικοινωνήσουν εάν πιστεύουν ότι ένα μήνυμα μπορεί να είναι δόλιο.

Απαίτηση επαλήθευσης οικονομικών συναλλαγών μέσω τηλεφώνου

Οι εισβολείς BEC περιορίζουν συνήθως τις επικοινωνίες τους σε μηνύματα κειμένου για να αποφύγουν να αποκαλυφθούν σε μια τηλεφωνική κλήση. Για να αποφύγετε αυτήν την παγίδα, επιμείνετε να επιβεβαιωθούν τυχόν οικονομικές συναλλαγές που ζητήσατε στον οργανισμό σας μέσω τηλεφωνικής κλήσης ή αυτοπροσώπως. Οποιοδήποτε άτομο με το οποίο συνεργάζεται η εταιρεία σας θα πρέπει να εγγραφεί σε έναν επίσημο κατάλογο για να επαληθευτεί η ταυτότητά του.

Εφαρμογή ελέγχου ταυτότητας πολλαπλών παραγόντων

Η προσθήκη μιας απαίτησης MFA σημαίνει ότι ακόμη και αν παραβιαστούν τα διαπιστευτήρια λογαριασμού, ο εισβολέας δεν θα μπορεί να αποκτήσει πρόσβαση χωρίς αυτήν τη δευτερεύουσα μορφή ελέγχου ταυτότητας. Το MFA μπορεί να επιτευχθεί μέσω μιας αποκλειστικής εφαρμογής ελέγχου ταυτότητας, ενός κωδικού πρόσβασης μίας χρήσης, ερωτήσεων ασφαλείας ή βιομετρικής τεχνολογίας, όπως η αναγνώριση προσώπου ή δακτυλικών αποτυπωμάτων.

Υποστηρίξτε την ευαισθητοποίηση των μέσων κοινωνικής δικτύωσης

Βεβαιωθείτε ότι οι εργαζόμενοι γνωρίζουν ότι τυχόν δεδομένα που δημοσιεύονται στο διαδίκτυο μπορούν να αποξεσθούν ή να συλλεχθούν. Αυτό σημαίνει ότι πρέπει να αποφεύγουν τη δημοσίευση στοιχείων επικοινωνίας, προσωπικών στοιχείων ή εταιρικών πληροφοριών, όπως ευθύνες εργασίας και οργανογράμματα.

Εξοικονομήστε χρόνο στην εταιρεία σας, ειδικά στην ομάδα πληροφορικής, κατεβάζοντας αυτό το έτοιμο Πολιτική Ευαισθητοποίησης και Εκπαίδευσης για την Ασφάλεια από την TechRepublic Premium.