Što je ugrožavanje poslovne e-pošte (BEC)?

Ugrožavanje poslovne e-pošta (BEC) vrsta je napada za krađu identiteta kojem su mete tvrtke i ustanove, a cilj krađa novca ili važnih informacija.

Zaštitite se od ugrožavanja poslovne e-pošte

Definicija ugrožavanja poslovne e-pošte (BEC)

Ugrožavanje poslovne e-pošte (BEC) vrsta je računalnog kriminala u kojoj prevarant upotrebljava e-poštu da bi naveo nekoga da pošalje novac ili otkrije povjerljive podatke o tvrtki. Počinitelj se predstavlja kao osoba od povjerenja, a zatim traži da se plati lažnu fakturu ili da se predaju povjerljivi podaci koje može iskoristiti u drugoj prijevari. Sve je više prijevara BEC jer sve više zaposlenika radi na daljinu. Prošle je godine FBI primio gotovo 20 000 prijava o BEC-u.¹

Vrste prijevara s ugrožavanjem poslovne e-pošte

E-pošta je početna točka za 91 posto računalnih napada.² Saznajte više o najčešćim vrstama ugrožene e-pošte.

Krađa podataka

Prevaranti katkad za početak napadaju odjel ljudskih potencijala i kradu podatke tvrtke kao što su nečiji raspored ili osobni telefonski broj. Nakon toga im je lakše izvesti neku od ostalih BEC prijevara i postići da ostane neotkrivena.

Prijevara s lažnom fakturom

Predstavljajući se kao legitimni dobavljač s kojim vaša tvrtka posluje, prevarant e-poštom šalje lažnu fakturu, koja često iznimno sliči pravoj. Možda će se broj računa razlikovati samo za jednu znamenku. Možda će zatražiti i da uplatu izvršite u drugu banku, pod izlikom da je vaša banka u postupku revizije.

Prijevara izvršnog direktora

Prevaranti krivotvore ili hakiraju račun e-pošte izvršnog direktora, a zatim zaposlenicima e-poštom pošalju upute za kupnju ili slanje novca bankovnim prijenosom. Prevarant može čak zatražiti od zaposlenika da kupi poklon-bon, a zatim zatražiti fotografije serijskih brojeva.

Oponašanje odvjetnika

To je prijevara u kojoj napadači steknu neovlašten pristup računu e-pošte odvjetničke tvrtke. Zatim klijentima e-poštom pošalju fakturu ili vezu za plaćanje na mreži. Adresa e-pošte jest legitimna, ali bankovni račun nije.

Ugrožavanje računa

Prevaranti koriste krađu identiteta ili zlonamjerni softver za pristup računu e-pošte zaposlenika u financijama, kao što je voditelj za potraživanja. Zatim prevarant e-poštom šalje lažne fakture dobavljača s kojim tvrtka surađuje u kojima se zahtijeva plaćanje na lažni bankovni račun.

Kako funkcioniraju BEC prijevare?

Evo što se događa u BEC prijevari:

1. Prevaranti istraže svoje mete i otkriju kako lažirati njihov identitet. Ponekad izrade lažna web-mjesta ili čak registriraju tvrtke koje nose isti naziv kao vaša u drugoj državi.

2. Kada ostvare pristup, prevaranti nadziru poruke e-pošte da bi saznali tko šalje ili prima novac. Pogledaju i kako izgledaju razgovori te fakture.

3. Tijekom razgovora e-poštom prevarant oponaša jednu od strana krivotvorenjem domene e-pošte. (Adresa e-pošte može se razlikovati za slovo ili dva, a može to biti i točna adresa e-pošte, ali putem druge domene, primjerice, chris@contoso.com putem fabrikam.com.)

4. Prevarant nastoji steći povjerenje mete, a zatim traži novac, poklon-bonove ili informacije.

Mete ugrožavanja poslovne e-pošte

Svatko može biti meta BEC prijevare. Mete mogu biti tvrtke, državne ustanove, neprofitne organizacije i škole, a u njima osobe na sljedećim položajima:

1. direktori i uprava, i to zato što su podaci o njima često javno dostupni na web-mjestu tvrtke, pa se napadači mogu pretvarati da ih poznaju

2. financijski djelatnici kao što su kontrolori i osoblje zaduženo za obveze tvrtke, koje raspolaže bankovnim podacima, podacima o načinu plaćanja i brojevima računa

3. voditelji ljudskih potencijala s evidencijom o zaposlenicima kao što su brojevi socijalnog osiguranja, porezne kartice, podaci za kontakt i rasporedi

4. novi ili neiskusni zaposlenici koji neće moći provjeriti legitimnost poruke e-pošte kod pošiljatelja.

Opasnosti BEC-a

Ako napad na poslovnu e-poštu bude uspješan, vašoj tvrtki ili ustanovi može se dogoditi sljedeće:

1. Izgubit će stotine tisuća ili milijune dolara.

2. U slučaju krađe podataka koji otkrivaju identitet osobe može doći do krađe identiteta širih razmjera.

3. Moguće je slučajno curenje povjerljivih podataka koji spadaju pod intelektualnu imovinu.

Usporedno s BEC prijevarama, razvijaju se i strategije zaštite od prijetnji. Microsoft je prošle godine blokirao čak 32 milijarde prijetnji za e-poštu.³ Saznajte više o Microsoftovim rješenjima za zaštitu od prijetnji za e-poštu.

Primjeri ugrožavanja poslovne e-pošte

Primjer br. 1: Hitno platite ovu fakturu

Recimo da radite u financijskom odjelu svoje tvrtke. Dobili ste od financijskog direktora poruku e-pošte s hitnim zahtjevom u vezi s neplaćenom dospjelom fakturom – samo što ona zapravo nije od financijskog direktora. A možda će se prevarant pretvarati i da je vaša tvrtka za servisiranje ili davatelj usluge interneta i poslat će vam e-poštom fakturu uvjerljivog izgleda.

Primjer br. 2: Recite mi svoj telefonski broj

Direktor tvrtke pošalje vam poruku e-pošte u kojoj traži vašu pomoć s kratkim zadatkom. Traži od vas da mu pošaljete telefonski broj da bi vam poslao SMS. Slanje poruka čini se sigurnije i osobnije od e-pošte, pa se prevarant nada da ćete mu SMS-om poslati podatke za plaćanje ili druge povjerljive informacije. To se naziva krađa identiteta putem SMS-a.

Primjer br. 3: Istječe vam zakup

Prevarant dobiva pristup e-pošti tvrtke za nekretnine pa pronađe poslove koji su u tijeku. Klijentima e-poštom poručuje "Plaćanjem ove fakture zakup za vaš uredski prostor obnovit će se na godinu dana" ili "Putem ove veze možete uplatiti zakupninu.” Prevaranti su na taj način nedavno nekoga prevarili oduzevši im više od 500 000 USD.Fusnota 4⁴

Primjer br. 4: Tajna akvizicija

Vaš šef traži plaćanje dijela cijene radi akvizicije jednog od vaših konkurenata. Želite provjeriti taj zahtjev, ali u poruci e-pošte stoji "Neka ostane među nama", pa odustajete. Budući da se pojedinosti spajanja i akvizicija često drže u tajnosti sve do konačnog dogovora, na prvu možda uopće nećete posumnjati na takvu prijevaru.

Savjeti za sprječavanje BEC-a

Zaustavite ugrožavanje poslovne e-pošte pridržavajući se pet najboljih praksi navedenih u nastavku:

Upotreba sigurnog rješenja za e-poštu

Aplikacije za e-poštu kao što je Office 365 automatski označavaju i brišu sumnjive poruke e-pošte ili vas upozoravaju da pošiljatelj nije potvrđen. To vam omogućuje da određene pošiljatelje blokirate, a poruke e-pošte prijavite kao neželjenu poštu. Defender za Office 365 dodaje još značajki za sprječavanje BEC-a, kao što su napredna zaštita od krađe identiteta i otkrivanje sumnjivog prosljeđivanja.

Postavljanje višestruke provjere autentičnosti (MFA)

Otežajte ugrožavanje e-pošte uključivanjem višestruke provjere autentičnosti, pri kojoj je za prijavu uz lozinku potreban i kod, PIN ili otisak prsta.

Poučavanje zaposlenika da uoče znakove upozorenja

Svi moraju znati prepoznati veze za krađu identiteta, nepodudaranje domene i adrese e-pošte te ostale znakove upozorenja. Simulirajte BEC prijevaru da bi je vaši zaposlenici prepoznali kada se stvarno odvije.

Postavljanje zadanih sigurnosnih postavki

Administratori mogu postrožiti sigurnosne preduvjete u cijeloj tvrtki ili ustanovi zahtijevajući da svi upotrebljavaju višestruku provjeru autentičnosti (MFA), dodajući provjeru autentičnosti za novi ili rizični pristup te uvodeći obavezno ponovno postavljanje lozinke ako dođe do curenja informacija.

Upotreba alata za provjeru autentičnosti e-pošte

Otežajte krivotvorenje svoje e-pošte provjerom autentičnosti pošiljatelja uz pomoću alata Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) i provjere autentičnosti poruka, izvješćivanja i usklađenosti na razini domene (DMARC).

Prihvaćanje sigurne platforme za plaćanje

Razmislite o prelasku sa slanja faktura e-poštom na sustav posebno namijenjen za provjeru autentičnosti plaćanja.

Zaštita od ugrožavanja poslovne e-pošte

Pridonesite zaštiti svoje tvrtke ili ustanove rješenjima za otkrivanje sumnjivih poruka e-pošte kao što je Microsoft Defender za Office 365, koji može sljedeće:

1. automatski provjeravati standarde provjere autentičnosti e-pošte, otkrivati krivotvorenje i slati poruke e-pošte u karantenu ili mape s bezvrijednom poštom

2. uz pomoć umjetne inteligencije modelirati uobičajene obrasce e-pošte svake osobe i označavati neuobičajene aktivnosti

3. konfigurirati zaštitu e-pošte prema korisniku, domeni i poštanskom sandučiću

4. istraživati prijetnje, saznati tko je meta, otkriti lažno pozitivne rezultate i identificirati prevarante u eksploreru za prijetnje

5. provjeriti obrasce e-pošte na razini domene i izdvojiti neuobičajenu aktivnost uz pomoć naprednih algoritama u obavještavanju o krivotvorenju.

Saznajte više o rješenju Microsoft Security

Šest savjeta za sigurniju e-poštu

Slijedite ove najbolje prakse za sigurnost e-pošte da biste pridonijeli zaštiti od BEC-a.

Pročitajte savjete

Razumijevanje prijevare s poklon-bonom

Da biste bili spremni, pročitajte stvarne poruke e-pošte koje šalju prevaranti kad pokušavaju izvesti BEC prijevaru.

Saznajte njihove taktike

Pogled iza kulisa BEC napada

Saznajte kako funkcioniraju prevaranti u prijevari s ugrožavanjem poslovne e-pošte koja se odvila u stvarnom životu.

Saznajte detalje

Sprječavanje napada isprobavanjem lozinki

Saznajte kako zaustaviti taj napad na e-poštu i utvrditi tko je u vašoj tvrtki ili ustanovi ranjiv.

Pročitajte objavu

Što moraju znati direktori informatičke sigurnosti

Saznajte više o obuci o svjesnosti sigurnosnog stanja i kako educirati tim o krađi identiteta.

Pročitajte više

Kako MFA sprječava krađu identiteta

Poduzmite jedan od najbržih i najjednostavnijih koraka za suzbijanje BEC prijevara: uključite višestruku provjeru autentičnosti.

Saznajte više

Predstavljamo Jedinicu za digitalni kriminal

Saznajte kako Microsoftov tim za računalni kriminal upotrebljava inovacije, istraživanje i umjetnu inteligenciju da bi se suprotstavio BEC-u.

Predstavljamo DCU

Najčešća pitanja

Podnesite prijavu FBI-jevom Centru za prijavu internetskog kriminala (IC3). Označite poruku e-pošte kao bezvrijednu ili neželjenu e-poštu i tako je prijavite putem svojeg davatelja usluge e-pošte. Ako vaša e-pošte nema tu mogućnost, obavijestite svog nadređenog.
Krađa identiteta samo je dio ugrožavanja poslovne e-pošte. BEC je krovni pojam, vrsta napada koja često obuhvaća krađu identiteta, krivotvorenje, oponašanje i lažne fakture.
Zaštitite poslovnu e-poštu pridržavajući se najboljih praksi za sigurnost e-pošte, kao što su korištenje sigurnog davatelja usluge e-pošte, uključivanje višestruke provjere autentičnosti (MFA), odabir jake lozinke za e-poštu i njezino često mijenjanje te nedijeljenje osobnih podataka na internetu. Ako ste administrator, razmotrite sigurnosna rješenja za e-poštu kao što je Defender za Office 365, konfigurirajte sigurnosne postavke i nadzirite aktivnosti da biste uočili anomalije.
BEC prijevaru možete otkriti ako primijetite nešto neuobičajeno, kao što su poruka e-pošte poslana izvan radnog vremena, pogrešno napisana imena, nepodudaranje adrese e-pošte pošiljatelja i adrese za odgovor, osjećaj hitnosti, čudne veze i privici odnosno promjene podataka o plaćanju ili naplati. BEC prijevare možete otkriti i tako da provjerite izbrisane poruke e-pošte i pravila prosljeđivanja na svojem računu za e-poštu da biste saznali je li vaš račun ugrožen. Ako vaša aplikacija za e-poštu označi određene poruke e-pošte kao sumnjive ili nepotvrđene, to je još jedan način da otkrijete BEC prijevaru.
Krivotvori se adresa e-pošte da bi izgledalo kao da je poruku e-pošte poslao netko drugi. Krivotvorene adrese e-pošte mogu izgledati kao stvarne, ali biti s druge domene, što nije očito dok ne pogledate detaljnije (chris@contoso.com putem domene fabrikam.com), ili mogu imati jedva primjetne pogreške u pisanju riječi (chris@cont0so.com) odnosno stizati s potpuno druge domene (chris@fabrikam.com).

1. FBI. "Internet Crime Report 2021" (Izvješće o internetskom kriminalu za 2021.). Centar za prijavu internetskog kriminala. 2021.

2. Ganacharya, Tanmay. "Protecting against coronavirus themed phishing attacks." (Zaštita od napada radi krađe identiteta na temu koronavirusa). Blog o rješenju Microsoft Security. 20. ožujka 2020.

3. Microsoft. "Digital Defense Report" (Izvješće o digitalnoj obrani). Listopad 2021.

4. Ministarstvo pravosuđa SAD-a. "Rhode Island Man Pleads Guilty to Conspiracy to Launder Funds of Email Compromise Fraud Targeting Massachusetts Lawyer" (Muškarac s Rhode Islanda izjasnio se kao kriv za urotu radi pranja novca stečenoga prijevarom radi ugrožavanja e-pošte kojoj je meta bio odvjetnik iz Massachusettsa). 15. srpnja 2020.