2015 年に受信者に電信送金を求める電子メールが受信トレイに届き始めたとき、情報セキュリティ コミュニティは、この種類の攻撃がどれほど大きな脅威になるかほとんど知りませんでした。この戦術にはリンクや添付ファイルは含まれておらず、組織の幹部になりすまして、会話への参加を電子メールでリクエストするだけです。

FBI がすぐにこの用語を作りましたビジネスメールの侵害、または BEC。一部の地域では、これは とも呼ばれます。CEO の詐欺。セキュリティ意識の専門家として、私はこの脅威はセキュリティの問題ではなく、ビジネス プロセスの問題であると強く感じています。

BEC の初期、研究者たちは金融業界内で団結してこの脅威に取り組みました。集団として、彼らは攻撃者と連携して、資金の移動に使用していた大量の銀行口座を引き出すことができました。研究者は社内チームと協力してこれらのアカウントを押収することができました。なぜ？プロセス。彼らにはプロセスがあり、不正行為の規制影響を与えるために身を乗り出し、多くの場合、被害者の口座から資金が流出するのを阻止します。

しかし、他の種類の犯罪で見られるのと同じように、脅威アクターは方向転換することを学びました。金融システムの不正行為規制の限界に達したら、転換の時が来ました。

犯罪者がどのように変化したかの一例としては、ビットコインの人気の高まりが挙げられます。最初の攻撃メールは、受信者に仮想通貨ウォレットに資金を送金するよう求め始めました。しかし、それも長くは続きませんでした、(SEG) キーワードとなりすましメール アドレスを検索する機能を追加しました。

検出や受信者への警告を避けるために、犯罪者は再びアプローチを変更し、最初の攻撃メールを多かれ少なかれ会話のきっかけとして、「少しお時間ありますか?」という単純な質問を提示するようにしました。または「会議中なので、簡単にお願いしたいことがあります。」数回の短いやり取りの中で、場合によっては会話をテキスト メッセージに持ち込むうちに、脅威アクターは行動を要求するようになります。この戦術は、多くの場合、ギフトカードのリクエストが含まれます。

ギフトカードは通常、脅威アクターの財布を潤すために使用されますが、これらの犯罪者は、組織内のさまざまなプロセスがどのように機能してさらに多額の資金にアクセスできるかを学習しています。その中には、直接預金口座の更新を要求したり、受取人になりすまして資金を横取りすることを可能にする売掛金登録簿の要求などが含まれます。

インターネット犯罪 (IC3) が毎年発行する、そして毎年この数字は爆発的に増え続けています。2021 年の損失は 430 億ドルと報告されており、前年の 18 億ドルから大幅に増加しました。。では、脅威アクターが常にその戦術を進化させている場合、組織はどのようにしてこの脅威から身を守ることができるのでしょうか?

金融取引を扱うチーム、または社内に存在するお金のワークフローに参加しているチームから始めます。銀行口座の変更方法、誰が財務報告書を受け取ることができるのか、送金の検証を行うためのプロセスが整備されていることを確認してください。

ギフトカード詐欺による損失を減らすには、CEO および上級幹部チームに、ユーザーに直接次のように伝えるように依頼してください。「電子メールやテキストメッセージでギフトカードを送ってほしいと頼むことは決してありません。」彼らがこのメッセージを伝えているところをビデオに録画してください。そして、新入社員のことも忘れないでください。上司に好印象を与えるためにターゲットにされる可能性があるため、新人研修中にこれの録音を見せてください。

適切なビジネス プロセスが導入されていれば、BEC 戦術はそれほど成功しません。

2018 年に入社した Tonia Dudley は、Cofense の副社長兼 CISO を務めています。15 年を超えるサイバーセキュリティの経験を活用して、電子メール セキュリティに関連して直面する可能性のあるさまざまな脅威やセキュリティの脆弱性に関する最新情報を組織に提供しています。ダドリーはまた、National Cyber Security Alliance の理事会でコフェンスの代表を務めており、世界中の情報セキュリティのベスト プラクティスと教育を促進するために組織と緊密に連携しています。

© Cofense Inc. 副社長、CISO、Tonia Dudley 氏

最も人気のある記事

1. 幹部を狙った事件は2025年に倍増、レポートで判明

2. ナイキと DEI、新 EEOC の標的にされる

3. より安全な未来のための精度: LiDAR ソリューションを採用する空港のメリット