Neue Welle von BEC-Angriffen wird Security-Teams zwingen, sich erneut anzupassen

Eine der am häufigsten verwendeten Metaphern in der Cybersecurity ist das ständige „Wettrüsten“ zwischen Angreifern und Verteidigern. Ein Seite ist innovativ und die andere Seite ist gezwungen, ihre eigenen Werkzeuge, Technologien und Prozesse zu aktualisieren, um Schritt zu halten. Das zwingt die andere Seite zu neuen Innovationen, und so geht es endlos weiter. Es mag eine überstrapazierte Analogie sein, aber sie ist in der heutigen Bedrohungslandschaft weiterhin relevant. Das jüngste Beispiel ist eine neue Welle von Business Email Compromise (BEC) -Angriffe, die vom FBI entdeckt wurden.

Anstatt sich darauf zu konzentrieren, Empfänger zum Überweisen von Geld zu bringen, machen sich Bedrohungsakteure daran, hochwertige Waren auf Kredit zu kaufen, bevor sie verschwinden, ohne zu bezahlen. Security-Teams der Unternehmen müssen wieder einmal ihr Wissen über E-Mail-Bedrohungstrends auf den neuesten Stand bringen.

Beobachtungen des FBI

Diese neueste Variante einer mittlerweile vertrauten Taktik funktioniert in etwa so:

1. Eine anvisierte Organisation erhält eine gefälschte E-Mail, die so aussieht, als wäre sie von einem legitimen US-Unternehmen gesendet worden, in der ein Großeinkauf von Waren angefordert wird.
2. Dazu können Baumaterialien, landwirtschaftliche Erzeugnisse, IT-Hardware oder Solarenergieprodukte gehören
3. Die E-Mail-Domain des Absenders ist gefälscht, und Anzeigenamen können gefälscht werden, um die Spitznamen aktueller oder ehemaliger Mitarbeiter zu enthalten.
4. Die Bedrohungsakteure stellen dem Anbieter gefälschte Kreditauskünfte und Steuerformulare zur Verfügung, um sich die Zahlungsbedingungen für 30  oder 60 Tage netto zu sichern. Auf diese Weise können sie Produkte effektiv kaufen, ohne sie sofort zu bezahlen.
5. Sobald sie die Ware erhalten haben, verschwinden die Betrüger ohne zu bezahlen. Die Opfer merken erst, dass sie betrogen wurden, wenn sie Tage später versuchen, die Zahlung zu erhalten, und dies nicht gelingt.

Diese neueste BEC-Variante ist ein großartiges Beispiel für die ständige Suche von Bedrohungsakteuren nach neuen Möglichkeiten, Angriffe zu Geld zu machen.. In diesem Fall kombinieren sie altbewährte Techniken (Domain-Spoofing, Identitätsmissbrauch, E-Mail) mit neuartigen Elementen (Warenkauf, Sicherstellen von Rückzahlungsbedingungen). Sie wissen, wie Zahlungsprozesse und Lieferkettenbeziehungen funktionieren und sie verfügen über die Fähigkeiten, daraus Nutzen zu ziehen. 

Variationen über ein Thema

Die Metapher des Wettrüstens hinkt hier ein wenig, da BEC als Bedrohungskategorie wahrscheinlich noch nicht einmal neu erfunden werden muss, so erfolgreich waren Bedrohungsgruppen beim Erzielen von Gewinnen daraus. Allein im vergangenen Jahr haben sie über 2,7  Milliarden USD verdient – und das allein aus den Betrugsmaschen, die dem FBI gemeldet wurden. Obwohl BEC nicht mehr an der Spitze der Liste der lukrativsten Cyberkriminalitätskategorien steht, stiegen die Verluste der Opfer offiziellen Zahlen zufolge im Jahresvergleich immer noch um 14 %. Ein kürzlich entdeckter Versuch zielte darauf ab, eine Opferorganisation zum Überweisen von 36 Millionen USD zu bringen. Wenn so dreiste BEC-Angriffe Früchte tragen, ist es kein Wunder, dass sie zu einer Multimilliarden-Dollar-Bedrohung geworden sind.

Die zunehmende Vielfalt der von den Betrügern verwendeten Techniken erfordert ständige Wachsamkeit. Gefälschte E-Mails können an Mitglieder des Finanzteams gesendet werden, die so aussehen, als wären sie von ihrem CEO gesendet, der eine Geldüberweisung anfordert. Sie können von gefälschten Anbietern oder Lieferanten stammen, die eine Zahlung verlangen. Die Anfrage kann sogar von einem legitimen Konto stammen, das über einen Spear-Phishing-Angriff gehackt wurde – was es besonders schwierig macht, es zu entdecken. 

Es gab auch Versuche, fortschrittlichere Technologien in etwas zu integrieren, was im Grunde ein digital aktivierter Trick von Betrügern ist. In einem berühmten Fall wurden Deepfake-Audioaufnahmen verwendet, um einem britischen CEO vorzugaukeln, sein deutscher Chef habe eine Geldüberweisung in Höhe von 220.000 € angefordert. In einem anderen Fall wurde ein Bankmanager aus den Vereinigten Arabischen Emiraten dazu verleitet, auf Wunsch eines „Kunden“ 35 Millionen Dollar zu überweisen. Betrüger verwenden sogar Deepfakes über Videokonferenzplattformen, um Teilnehmer dazu zu bringen, Anfragen zu Geldüberweisungen von ihrem „Chef“ zu erfüllen.

Wie man sie aufhalten kann

Die gute Nachricht ist, dass Best Practices für BEC mit einigen Änderungen immer noch gelten. Das bedeutet, fortschrittliche E-Mail-Sicherheit mit verbesserten Richtlinien und der Bereitschaft zu kombinieren, Schulungen zur Stärkung des Risikobewusstseins der Mitarbeitenden kontinuierlich zu aktualisieren. Hier sind ein paar Vorschläge:

• Entscheiden Sie sich für KI-gestützte E-Mail-Sicherheitslösungen, die „normale“ E-Mail-Muster und Schreibstile lernen, um zu melden, wenn etwas nicht richtig aussieht.
• Legen Sie E-Mail-Regeln fest, damit markiert wird, wenn Antwort-E-Mail-Adressen von der angezeigten „Von“-Adresse abweichen.
• Stellen Sie sicher, dass Tools beim Erkennen von Eindringlingen warnen, wenn legitime Unternehmens-E-Mails mit ähnlich aussehenden Domains gefälscht werden.
• Aktualisieren Sie die Schulungen zur Stärkung des Risikobewusstseins der Mitarbeitenden mit den neuesten BEC-Taktiken, wie den vorstehenden.
• Aktualisieren Sie die Prozesse für Banküberweisungen und hochwertige Verkäufe , um Folgendes einzubeziehen:         
  • Direkter Anruf beim Lieferanten/CEO/Kunden, um die Legitimität einer Anfrage zu überprüfen. Und verwenden Sie ein Firmenverzeichnis oder eine Online-Suche nach der Nummer und nicht nach der in der E-Mail.
  • Fordern Sie Einzelpersonen auf, eine Genehmigung oder eine zweite Überprüfung einzuholen, bevor sie große Verkaufs-/Überweisungsanträge genehmigen
• Erwägen Sie die Farbcodierung von E-Mails, um zu kennzeichnen, wenn Nachrichten von externen Konten gesendet werden

BEC wird so schnell nicht verschwinden. Aber indem sie wachsam und auf dem Laufenden bleiben, wenn es um die neuesten Betrugsmaschen geht, die die Runde machen, können Unternehmen die dringend benötigte Resilienz in ihr Cyber-Risikomanagement einbauen.