Como funciona o comprometimento de e-mails comerciais (BEC)

O Business Email Compromise (BEC) é uma das mais complexas fraudes baseadas na engenharia social, que rende grandes somas de dinheiro aos seus autores. Enquanto o ransomware é notícia, o BEC parece não fazer tanto sucesso. No entanto, uma investigação do FBI revelou que o volume de BEC é quatro vezes superior ao do malware.

O Verizon Data Breach Investigations Report (DBIR) salienta que a grande maioria (86%) dos crimes informáticos tem motivações financeiras. Os burlões, os autores de fraudes e os cibercriminosos fazem parte de uma comunidade nefasta que utiliza tácticas de engenharia social e e-mails de phishing para ajudar a levar a cabo os seus cibercrimes. Compreender como funciona uma fraude pode ajudar a evitar que a tua organização seja vítima deste ciberataque.

Eis como funciona o Business Email Compromise e como podes impedir que os autores de fraudes BEC roubem o dinheiro da tua empresa.

Análise de um ataque BEC típico

Os autores de fraudes de Business Email Compromise visam empresas de todas as dimensões e de todos os sectores. Uma fraude de BEC utiliza a engenharia social ao máximo, manipulando os funcionários visados, à medida que a cadeia de destruição avança através de uma organização.

As fraudes de Business Email Compromise são lucrativas, mas requerem um elevado nível de compromisso para obter acesso às grandes somas de dinheiro que os burlões procuram. A fraude BEC pode ser considerada uma ameaça avançada de correio eletrónico, uma vez que normalmente contém um elemento de comprometimento de correio eletrónico e phishing numa fase inicial do ciclo de ataque.

Aqui estão os processos típicos por trás de um esquema de comprometimento de e-mail comercial:

Um esquema de BEC depende de enganar indivíduos específicos dentro de uma organização para que façam uma transferência eletrónica para transferir dinheiro para a conta de um fraudador. Existem várias variantes do esquema, mas todas têm um elemento comum: encontrar uma forma de enganar alguém para que acredite que está a efetuar uma transferência de dinheiro importante a pedido de uma pessoa de nível superior e/ou de um cliente importante. As fases típicas de um esquema de BEC são:

Primeira fase: recolha de informações e estratégias

Os crimes de BEC são exercícios sérios de obtenção de dinheiro que exigem a recolha de informações para aperfeiçoar o crime. A vigilância envolve normalmente a recolha de informações gerais disponíveis ao público sobre uma empresa, quem são os executivos de nível C, a estrutura da empresa, etc.

Durante esta fase, os cibercriminosos compreendem as operações da empresa e tentam descobrir como e a quem são feitos os pagamentos. Um burlão de BEC utiliza então esta informação para iniciar a segunda fase do ataque.

Segunda fase: Compromisso de e-mail ou falsificação de e-mail

Utilizando as informações recolhidas na primeira fase, o fraudador BEC recorre a uma de duas tácticas para continuar o ataque:

O comprometimento de contas de correio eletrónico é uma possibilidade. O controlo de contas (ATO) exige que o cibercriminoso roube as credenciais de início de sessão e a palavra-passe de uma conta de correio eletrónico visada. Isto pode ser feito utilizando spear-phishing; é mais complicado (mas não impossível) se for utilizado um segundo fator para proteger uma conta.

Se o cibercriminoso conseguir sequestrar uma conta, centrar-se-á num executivo de nível C ou em alguém que controle os pagamentos. Uma conta sequestrada de um CXO é altamente valiosa e pode ser usada para exigir pagamentos “urgentes” para a conta bancária do hacker, fazendo-se passar por um “cliente valioso”.

No caso da ATO do funcionário “contas a pagar”, o fraudador poderá observar o tráfego de correio eletrónico, procurando informações sobre quem está a ser pago, quando é pago, etc. Ter este nível de controlo sobre o correio eletrónico de uma organização também lhes permite intercetar facturas, alterando os detalhes para garantir que os pagamentos são feitos para a conta bancária do fraudador.

A segunda opção é falsificar o endereço de correio eletrónico do executivo de nível C visado. A falsificação de um e-mail é uma forma comum de phishing e uma forma reconhecida de enganar os destinatários, levando-os a pensar que o e-mail é de uma determinada pessoa. Um exemplo de um endereço de correio eletrónico falso seria [email protected] ou [email protected] – fácil de imitar, difícil de detetar, especialmente para o pessoal de contabilidade ocupado.

Terceira fase: Extrair o dinheiro

A terceira fase é quando o dinheiro é transferido para a conta bancária do autor da fraude. Isto pode assumir várias formas e fará parte da estratégia original de execução definida nas fases um e dois. As formas típicas incluem:

Fraude do CEO: utilizando uma conta de nível C falsificada ou pirateada, o burlão envia um e-mail “urgente” a exigir um pagamento para evitar perder um cliente importante.

Fraude de facturas: Se uma conta de correio eletrónico for pirateada, o fraudador intercepta facturas legítimas e altera os dados de pagamento.

Como podes reduzir o risco de BEC?

A fraude BEC começa com a recolha de informações e progride através de ataques avançados por correio eletrónico, normalmente envolvendo spear-phishing. Existem várias formas de proteger a tua organização contra um ataque BEC, cada uma fazendo parte de uma estratégia de defesa em camadas:

Dá formação aos funcionários sobre como funcionam os ataques BEC

O comprometimento do correio eletrónico empresarial baseia-se no engano e a vigilância é fundamental. Utiliza a formação de sensibilização para a segurança e exercícios de simulação de phishing para que os empregados aprendam a reconhecer os truques utilizados pelos atacantes.

Desenvolve formação específica sobre BEC para executivos e equipas financeiras. Inclui terceiros ou fornecedores que tratam dos pagamentos.

Utiliza a autenticação de dois factores

Para evitar a apropriação de contas de correio eletrónico, certifica-te de que todas as contas de correio eletrónico da empresa exigem um segundo fator, como um código móvel de uso único, para além de uma palavra-passe.

Protege o teu domínio empresarial

Os autores de fraudes BEC registam frequentemente domínios semelhantes, como www.micr0soft.com ou www.amason.com, para se fazerem passar por remetentes legítimos. O registo de domínios semelhantes de forma proactiva pode ajudar a evitar a falsificação.

Cria mecanismos de dupla verificação dos pagamentos

Implementa um processo de verificação que exija que os funcionários verifiquem novamente com outro membro do pessoal antes de efectuarem transferências ou partilharem dados financeiros sensíveis.

Fica atento às alterações ou actualizações

Cria uma cultura de segurança em que o pessoal esteja atento a comportamentos invulgares das equipas internas ou dos fornecedores. Uma cultura de segurança forte ajuda a detetar precocemente as burlas.

O Business Email Compromise é um crime lucrativo e persistente. Para reduzir o risco, as organizações devem manter-se vigilantes e educar todos os funcionários – incluindo os executivos – sobre o funcionamento do BEC.

Protege a tua organização contra as ameaças BEC e cibernéticas

A MetaCompliance oferece um conjunto abrangente de soluções para proteger a sua organização contra o Business Email Compromise (BEC), reduzir o risco humano e melhorar a resiliência cibernética geral. A nossa Plataforma de Gestão de Riscos Humanos inclui:

• Sensibilização para a segurança automatizada – forma os empregados para reconhecerem as ameaças de BEC e de phishing.
• Simulações avançadas de phishing – testa a preparação do pessoal contra ataques de correio eletrónico realistas.
• Risk Intelligence & Analytics – identifica e trata as vulnerabilidades dos riscos humanos.
• Gestão da conformidade – assegura que as políticas e os procedimentos reduzem a exposição a BEC e a outras ciberameaças.

Descobre como estas soluções podem reforçar a postura de segurança da tua organização e defender-te contra o BEC. Contacta-nos hoje para reservar a tua demonstração.