Liam Tung Bidragyder
Liam Tung er en fuldtids freelance teknologijournalist, som skriver for adskillige australske publikationer.
Fuld biografi den 21. februar 2022 | Emne: Sikkerhed
Business email compromise (BEC), en undergruppe af phishing-trusler på flere milliarder dollar, har muligvis brug for et nyt navn, fordi svindelnummeret ikke længere kun handler om e-mail. FBI advarer om, at svindlere har øget videomøder som et værktøj til at narre intetanende ofre til at aflevere deres penge.
Virtuelle mødeværktøjer som Microsoft Teams og Zoom var de store vindere af video under pandemien. Og hvor brugerne går, følger svindlerne desværre med.
BEC er normalt afhængig af falske, forfalskede eller kompromitterede e-mail-domæner til at videresende beskeder til mål med det formål at narre dem til at foretage en bankoverførsel. Svindelerne er teknisk enkle, men er ofte krydret med omhyggeligt konstrueret baggrundshistorie, der udføres via e-mail, der narrer selv veluddannede medarbejdere. Det er den øverste kategori af cyberkriminalitet målt på tabte midler, som udgjorde 1,8 milliarder dollars i 2020 baseret på sager rapporteret til FBI. BEC-dværge rapporterede tab af ransomware.
Men BEC handler ikke kun om e-mail. FBI's Internet Crime Center (IC3) siger, at det har set en stigning i BEC-svindel, der bruger videomøder som forum til at kommunikere. Dette skete mellem 2019 og 2021, svarende til verdens skift til videomøder, da vi alle tilpassede os COVID-19-pandemien og fjernarbejde.
Video virker måske ikke det mest oplagte medium til denne type fidus, fordi møder kræver en fysisk tilstedeværelse og ikke kun noget tekst i e-mail. Men tilsyneladende virker video, når den bruges i kombination med e-mail, som angribere bruger til at indsætte sig selv i en efterfølgende betroet videosamtale.
“Kriminelle begyndte at bruge virtuelle mødeplatforme til at udføre flere BEC-relaterede svindel på grund af stigningen i fjernarbejde på grund af COVID-19-pandemien, som fik flere arbejdspladser og enkeltpersoner til at udføre rutinemæssige forretninger virtuelt,” FBI sagde.
BEC-svindel med video involverer stadig e-mail som en del af rekognoscering. Angriberen kompromitterer medarbejders e-mails og “indsætter sig selv i møder på arbejdspladsen via virtuelle mødeplatforme for at indsamle oplysninger om en virksomheds daglige drift,” bemærker FBI.
Svindleren kan også bryde ind i en arbejdsgivers e-mail. , som f.eks. den administrerende direktør, og sender falske e-mails til medarbejdere “som instruerer dem om at igangsætte pengeoverførsler, da den administrerende direktør hævder at være optaget i et virtuelt møde og ude af stand til at igangsætte en overførsel af midler via deres egen computer.”
Svindlere kan også bede medarbejdere om at deltage i en virtuel mødeplatform, hvor den kriminelle vil indsætte et stillbillede af CEO'en uden lyd eller “dyb falsk” lyd og hævde, at deres video/lyd ikke fungerer korrekt. “De fortsætter derefter med at instruere medarbejderne om at igangsætte pengeoverførsler via chatten på den virtuelle mødeplatform eller i en opfølgende e-mail,” sagde FBI.
BEC-svindel trodser en ren definition, fordi de kan involvere udefrakommende eller insidere og ofte kræver, at kun én legitim medarbejder foretager en autoriseret overførsel under falske scenarier, som er opdigtet af svindleren, såsom en presserende e-mail fra en finansinspektør til en underordnet fredag eftermiddag.
FBI tilbyder adskillige tips, som arbejdsgivere bør tage til efterretning. Det er svært for arbejdsgivere, når medarbejdere kan bruge Teams, Zoom, Google Meet, Slack eller endda Discord til at holde et videomøde.
Arbejdsgivere og ansatte bør for eksempel “bekræfte brugen af eksterne virtuelle mødeplatforme, der ikke normalt bruges i dit interne kontormiljø,” siger FBI.
FBI anbefaler også at implementere to-faktor eller multi-faktor autentificering (MFA) for at verificere anmodninger om ændringer i kontooplysninger. MFA kan bremse processerne, men det virker og bør bruges til konti af høj værdi. Microsoft siger, at kun en femtedel af organisationerne aktiverer MFA for virksomheds-e-mail-konti i 2021.
FBI's råd indeholder noget indlysende råd om beskyttelse af finansielle detaljer, der kan blive glemt under den normale forretningsgang med betroede partnere, herunder at tjekke URL'erne i e-mails, vente på hyperlinks og dele loginoplysninger.
FBI's fulde liste over dos and don'ts inkluderer:
Bekræft brugen af eksterne virtuelle mødeplatforme, der ikke normalt bruges i dit interne kontormiljø. Brug sekundære kanaler eller to-faktor-godkendelse til at bekræfte anmodninger om ændringer i kontooplysninger.Sørg for, at URL'en i e-mails er knyttet til den virksomhed/person, den hævder at være fra. Vær opmærksom på hyperlinks, der kan indeholde stavefejl i det faktiske domænenavn. Afstå fra at angive loginoplysninger eller personlige oplysninger af nogen art via e-mail. Bekræft den e-mail-adresse, der bruges til at sende e-mails, især når du bruger en mobil eller håndholdt enhed, ved at sikre, at afsenderens adresse ser ud til at matche, hvem den kommer fra. Sørg for, at indstillingerne på medarbejdernes computere er aktiveret for at tillade, at hele e-mail-udvidelser kan ses. Overvåg dine personlige økonomiske konti regelmæssigt for uregelmæssigheder, såsom manglende indskud. Sikkerheds-tv | Datastyring | CXO | Datacentre