Несмотря на годы заявлений о скором приближении "смерти электронной почты", метод общения, который существует уже десятилетия, продолжает процветать в бизнесе. Особенно в сфере хакерства.
Получение электронного письма, содержащего ссылку, которая кажется законной, но на самом деле является вредоносной, остается одним из наиболее опасных и успешных трюков в арсенале киберпреступника и привело к некоторым крупнейшим взломам в последние годы, включая взлом в 2022 году гиганта связи Twilio и взлом прошлогодней социальной платформы Reddit.
Хотя иногда такие письма легко вычислить, будь то из-за плохого орфография или необычного адреса электронной почты, становится все сложнее идентифицировать подозрительное письмо среди легитимных по мере того, как тактика хакеров становится все более изощренной.
Возьмем, к примеру, бежность электронной почты для бизнеса (или BEC), тип атаки, целью которой является ограбление крупных и малых организаций с целью похищения денег, критической информации или и того и другого. В таком виде мошенники выдавливаются или компрометируют кого-то, знакомого жертве, такого как сотрудник, начальник или деловой партнер, чтобы обмануть их, заставив неосознанно раскрывать чувствительную информацию.
Риск, который это представляет для бизнеса, особенно для стартапов, не может быть недооценен. Лица в США потеряли почти $3 миллиарда в 2021 году только в результате мошенничества по электронной почте BEC, согласно последним данным ФБР. И эти атаки не показывают признаков замедления.
Как распознать мошенничество электронной почты для бизнеса
Ищите предупреждающие знаки
Хотя киберпреступники становятся все более продвинутыми в своих тактиках отправки электронной почты, есть несколько простых сигналов тревоги, на которые вы можете — и должны — обращать внимание. Это включает в себя электронное письмо, отправленное вне типичного рабочего времени, неверные имена, несоответствие между адресом электронной почты отправителя и адресом для ответа, необычные ссылки и вложения, или необоснованный чувство срочности.
Свяжитесь с отправителем напрямую
Использование атаки методом "спир-фишинг" — где хакеры используют персонализированные ловушки для электронной почты, чтобы выдавать высокопоставленных исполнителей внутри компании или внешних поставщиков — означает, что практически невозможно определить, пришло ли сообщение от надежного источника. Если электронное письмо выглядит необычно — или даже если нет — свяжитесь с отправителем напрямую, чтобы подтвердить запрос, а не отвечать через любую электронную почту или любой телефонный номер, указанный в электронном письме.
Проверьте с вашими ИТ-специалистами
Атаки на техническую поддержку становятся все более распространенными. В 2022 году клиенты Okta были атакованы высоко профессиональной атакой, при которой злоумышленники отправляли своим сотрудникам текстовые сообщения с ссылками на фишинговые сайты, имитирующие внешний вид и ощущение страниц входа в Okta их работодателей. Эти страницы входа выглядели настолько реальными, что более 10 000 человек отправили свои рабочие учетные данные. Скорее всего, ваш отдел ИТ не собирается связываться с вами через SMS, поэтому если вы получили случайное текстовое сообщение из ниоткуда или неожиданное всплывающее уведомление на вашем устройстве, важно проверить, является ли оно легитимным.
Будьте (еще более) заскрежеталым в отношении телефонных звонков
Киберпреступники давно используют электронную почту как свое оружие по выбору. Недавно преступники полагаются на мошеннические телефонные звонки для взлома организаций. Один единственный телефонный звонок, как сообщается, привел к взлому прошлого года сети отелей MGM Resorts, после того как хакеры успешно обманули сервисный стол компании, предоставив им доступ к учетной записи сотрудника. Всегда будьте скептически настроены по отношению к неожиданным звонкам, даже если они поступают от лица, которое выглядит легитимно, и никогда не делитесь конфиденциальной информацией по телефону.
Многофакторная аутентификация!
Многофакторная аутентификация — которая обычно требует ввода кода, ПИН-кода, или отпечатка пальца для входа в систему вместе с вашим нормальным именем пользователя и паролем — далеко не непробиваема. Однако, добавляя дополнительный уровень защиты за пределами подверженных взлому паролей, это значительно затрудняет задачу киберпреступникам получить доступ к вашим учетным записям электронной почты. Пойдите еще дальше, выпустив технологию без паролей, такую как аппаратные ключи безопасности и парольные ключи, которые могут предотвратить кражу пароля и токенов сессии от вредоносного программного обеспечения для кражи информации.
Внедрите более строгие процессы оплаты
С любым типом кибератаки, конечная цель преступника — заработать деньги, и успех мошенничества BEC часто зависит от того, чтобы обмануть одного сотрудника на отправку банковского перевода. Некоторые финансово мотивированные хакеры притворяются вендором, запрашивая оплату за выполненные ими услуги для компании. Для уменьшения риска попадания жертвой под такой вид мошенничества по электронной почте внедрите строгие процессы оплаты: Разработайте протокол для утверждения платежей, потребуйте, чтобы сотрудники подтверждали денежные переводы через второе коммуникационное средство, и скажите вашей финансовой команде дважды проверить каждую банковскую учетную запись, которая меняется.
Вы также можете проигнорировать это
В конечном итоге, вы можете минимизировать риск поддаться большинству мошеннических схем BEC, просто проигнорировав попытку и двигаясь дальше. Не уверены на 100%, что ваш начальник действительно хочет, чтобы вы пошли и купили на $500 подарочные карты? Проигнорируйте это! Получаете звонок, которого не ожидали? Повесьте трубку! Но ради вашей команды безопасности и помощи коллегам не промолчите. Сообщите о попытке вашему рабочему месту или отделу ИТ, чтобы они оставались более бдительными.
Электронные письма Microsoft, предупреждавшие клиентов о российских взломах, были критикованы за то, что они похожи на спам и фишинг
