Атаки вэйлинга: Как руководители теряют миллионы на целевом фишинге

Распространённые тактики

• • Глубокие разведывательные операции, в ходе которых злоумышленники изучают календари руководителей, графики поездок, выступления на конференциях и посты в социальных сетях в течение месяцев, чтобы определить оптимальное время и реалистичные сценарии для своей атаки.
• • Спуфинг электронной почты и подделка доменов с использованием почти идентичных доменов (например, 'examp1e.ru' вместо 'example.ru') или скомпрометированных аккаунтов известных деловых партнеров для отправки сообщений, которые выглядят легитимно в почтовых клиентах.
• • Создание тщательно разработанных прикрытий, включающих поддельные юридические вопросы, конфиденциальные переговоры о слиянии, срочные проблемы с соответствием нормативным требованиям или неотложные платежи поставщикам, которые оправдывают обход обычных процедур одобрения.
• • Синхронизация атак на периоды, когда руководители путешествуют, находятся на конференциях или иным образом недоступны для личной проверки, зная, что они более склонны к поспешным ответам через мобильные устройства.
• • Многоэтапная социальная инженерия, при которой первоначальный контакт устанавливает доверие через безобидные деловые обсуждения перед постепенным введением мошеннических запросов в течение дней или недель, чтобы избежать подозрений.
• • Эксплуатация организационных иерархий путем выдачи себя за генерального директора при обращении к финансовым директорам или выдачи себя за членов совета при обращении к генеральному директору, используя психологическое давление авторитета, чтобы подавить вопросы и проверки.

Как распознать

• Срочные запросы на переводы средств, сброс учетных данных или получение конфиденциальной информации, которые приходят по электронной почте, а не через установленные защищенные каналы связи, особенно если они отмечены как срочные или конфиденциальные.
• Тонкие расхождения в доменных именах адресов отправителей, такие как замена букв (рп вместо м), дополнительные дефисы или альтернативные доменные расширения (.со вместо .рф), которые выглядят идентично с первого взгляда.
• Запросы, требующие нарушить установленные процедуры компании, обойти рабочие процессы одобрения или сохранить конфиденциальность транзакций от финансовых отделов, юридических подразделений или других руководителей, которые обычно участвуют в таких операциях.
• Необычно формальный или неформальный язык, отличающийся от типичного стиля общения предполагаемого отправителя, вместе с общими приветствиями вроде 'Уважаемый руководитель' вместо вашего имени, когда отправитель должен знать вас лично.
• Сообщения, полученные в неудобное время или когда предполагаемый отправитель находится в поездке, на встречах или иным образом недоступен, особенно если они утверждают, что лично занимаются срочными вопросами, а не через помощников.
• Тактики давления, подчеркивающие экстремальную срочность, требования конфиденциальности или потенциальные негативные последствия задержки, особенно когда в сочетании с просьбами использовать личную электронную почту, ответить через текстовые сообщения или общаться вне нормальных систем бизнеса.

Как защитить себя

• Внедрите обязательные двухфакторные протоколы аутентификации для всех переводов средств и финансовых транзакций выше установленных лимитов, требующие голосового подтверждения через известные номера телефонов (а не номера, указанные в письмах), перед обработкой каких-либо запросов.
• Установите кодовые слова или фразы проверки с руководителями, членами советов директоров и ключевыми деловыми партнерами, которые должны использоваться при совершении необычных финансовых запросов или запросе конфиденциальной информации вне нормальных каналов.
• Развертывание продвинутых решений безопасности электронной почты, которые отмечают внешние письма, проверяют подделку доменов, анализируют информацию в заголовках для выявления ошибок аутентификации и предупреждают пользователей, когда письма якобы от руководителей поступают из внешних источников.
• Проведение ежеквартальных учебных упражнений по вэйлингу, в которых команды безопасности отправляют реалистичные целевые фишинговые письма руководителям и членам советов директоров, отслеживая процент откликов и обеспечивая немедленное обучение тех, кто не прошел тесты.
• Создайте защищенные списки контактов в вашей организации, которые не могут быть скомпрометированы внутри, убедившись, что письма якобы от генерального директора или других руководителей должны поступать с проверенных аккаунтов или быть четко отмечены как поступившие извне.
• Требуйте от руководителей поддерживать отдельные учетные записи электронной почты для весьма чувствительных коммуникаций, внедрите обязательное обучение информационной безопасности, специально сосредоточенное на тактике вэйлинга, и установите четкие процедуры эскалации, когда запросы кажутся необычными, даже если они выглядят легитимными.

Реальные примеры

Куда сообщить — Россия

Официальные каналы в вашем регионе для сообщения о мошенничестве.