Фишинг будущего
Как пишет
WeLiveSecurity, в 2021 году BEC-атаки принесли наибольший ущерб, чем любой другой тип киберпреступности (
BEC-атака — атака, при которой злоумышленник получает доступ к корпоративной учетной записи электронной почты, чтобы при помощи методов социальной инженерии обмануть получателей писем). Согласно данным ФБР, убытки жертв оцениваются в $2,4 млрд, учитывая, что это далеко не самый популярный метод у хакеров.
По своей сути BEC-атаки продолжают оставаться фишингом, но есть одна особенность: афера происходит через легитимную корпоративную почту.
Как это работает Сначала злоумышленники с помощью простой фишинговой атаки захватывают корпоративный почтовый ящик, после чего внимательно изучают организацию: ищут клиентов, знакомятся с графиком платежей и счетами. Когда наступает нужный момент, мошенники вмешиваются в переписку и просят перевести деньги на другой счет, который, конечно, принадлежит преступникам.
Сложность в том, что в подобных атаках не используются вредоносное ПО, а это означает, что их труднее обнаружить. В таких случаях не поможет система защиты, только осведомленный персонал сможет предотвратить угрозу.
ФБР также рассказало, что злоумышленники все чаще прибегают к дипфейк-аудио. Преступники захватывают электронную почту высокопоставленного работника и приглашают присоединиться сотрудников к виртуальной встрече.
На этих встречах мошенники вставляют неподвижное изображение работника, который был взломан, а голос подделывают с помощью дипфейк-технологий, уточняя, что у них якобы какие-то проблемы со звуком. Цель конференций состоит в том, чтобы убедить персонал совершить банковский перевод на счета злоумышленников.
Этот метод был успешно применен уже, как минимум, в двух атаках: - британский директор одной из корпораций совершил перевод в размере €220 тыс. мошеннику, который имитировал его немецкого босса;
- в другом случае управляющего банка в ОАЭ обманом заставили перевести $35 млн по запросу «клиента».
Проблема в том, что технология "дипфейк" недорога в использовании, но крайне эффективна, даже против "закаленных" сотрудников. А перспектива развития дипфейк-аудио в сочетании с видео вызывает беспокойство у специалистов.
Защитите свою организацию от мошенников —
протестируйте своих сотрудников на знание правил ИБ и обучите их по результатам тестирования.