BEC-angreb omfattede næsten halvdelen af tabet af cyberkriminalitet sidste år, som i alt beløb sig til 3.5 milliarder dollars, da internetaktiverede kriminalitet steg.
Business email compromise (BEC) angreb kostede organisationer et anslået tab på 1.77 milliarder dollars i 2019, rapporterer FBI, som modtog i alt 23,775 klager relateret til denne trussel.
FBI's Internet Crime Complaint Center (IC3) udgav i denne uge sin "2019 Internet Crime Report", som graver i cyberkriminalitetstendenser i løbet af året. I 2019 modtog IC3 467,361 klager, hvilket kostede organisationer i alt 3.5 milliarder dollars – op fra 2.7 milliarder dollars i 2018.
De hyppigst rapporterede klager vedrører phishing og lignende angreb, svindel med manglende betaling/ikke-levering og afpresning, siger embedsmænd. Men de dyreste klager er relateret til BEC, romantik eller tillidssvindel eller kopiering af en persons eller sælgers konto for at indsamle personlige eller økonomiske data om et offer, der er bekendt med dem, ifølge rapporten.
BEC-angreb, også kendt som e-mail-kontokompromis (EAC), udvikler sig konstant i takt med, at modstandere bliver mere sofistikerede. Tilbage i 2013 startede svindel ofte med spoofing af en CEO's eller CFO's e-mail-konto. Svindlere sendte e-mails, der så ud til at komme fra disse ledere for at overbevise medarbejderne om at sende bankoverførsler til falske konti.
Siden da har BEC udviklet sig til at inkludere kompromittering af personlige e-mails og leverandør-e-mails, forfalskede advokat-e-mail-konti og anmodninger om W-2-data. Angribere retter sig ofte mod ejendomssektoren og/eller anmoder om dyre gavekort. I 2019 oplevede IC3 en stigning i BEC-klager relateret til omdirigering af lønsummer: Angribere sender en falsk e-mail til en personale- eller lønafdeling og anmoder om en opdatering af en specifik medarbejders direkte indbetalingsoplysninger.
Gavekortangreb er især populære mod årets slutning. I fjerde kvartal af 2019 udgjorde de 62 % af alle BEC-angreb, påpeger Agari-forskere i sin Q1 2020 "Email Fraud and Identity Deception Trends"-rapport, offentliggjort i dag. Ugerne op til helligdagene er de bedste for svindel med gavekort, fordi angribere kan målrette enhver afdeling, ikke kun HR eller løn. I de sidste tre måneder af 2019 var gavekort, der blev anmodet om i BEC-svindel, i gennemsnit mere end $1,600, ifølge AGari.
"Angriberne leder efter nye indtægtskilder fra mennesker," siger Erich Kron, sikkerhedsbevidsthedsanalytiker hos KnowBe4. "For eksempel, i stedet for bare at gå efter bankoverførsler, noget som folk bliver opmærksomme på, har de ændret til at omdirigere lønsedler til forskellige konti eller få folk til at købe et stort antal gavekort og derefter få dem til at sende kortnumre og informationer under dække af en leder, der belønner medarbejdere eller takker leverandører."
Kron peger også på en stigning i hybridangreb, hvor et offer modtager en e-mail med en anmodning og samtidig modtager en sms fra et forfalsket nummer, der er designet til at virke som den samme person, der siger, at de har sendt en e-mail. Det er en meget målrettet, men effektiv teknik, siger han, og den er mindre almindeligt kendt end bankoverførsler. Ofre har tillid til den anden anmodningskilde.
Agari bemærkede også en stigning i efterligningsangreb. Phishing- og BEC-angreb, der efterligner specifikke personer, nåede 32 % mellem oktober og december 2019, en stigning fra 12 % i andet kvartal. Nu er disse trusler omkring samme niveau som brandefterligning (36%).
Andre former for cyberkriminalitet at se
IC3 rapporterer, at tilfælde af "ældre bedrageri" eller finansielle ordninger, der er målrettet eller uforholdsmæssigt påvirker personer over 60, er mere og mere almindelige. De kan være ofre for investeringssvindel, romantik-svindel, teknisk support-svindel eller bedrageri fra regeringens efterligning. I 2019 modtog IC3 68,013 klager fra ældre ofre, med justerede tab på over 835 millioner USD.
Svindel med teknisk support, hvor en kriminel udgiver sig for at være en teknisk pro til at bedrage ofre, er et voksende problem i sig selv. IC3 modtog 13,633 klager relateret til teknisk supportsvindel i 2019 fra ofre i 48 lande, med tab på mere end 54 millioner dollars.
Så er der ransomware, en anden type cyberangreb, der er under udvikling, efterhånden som angribere bliver mere og mere sofistikerede. I 2019 modtog IC3 2,047 klager identificeret som ransomware, med justerede tab på mere end $8.9 millioner. Den opfordrer indtrængende ofre til ikke at betale løsesum til angriberne.
En række nye teknikker hjælper angribere med at omgå sikkerhedsværktøjer og lancere vellykkede ransomware-kampagner, siger Tal Zamir, grundlægger og CTO hos Hysolate. De er målrettet mod ikke-e-mail-applikationer som Slack, WhatsApp og Teams, såvel som eksisterende sårbarheder i antivirusprodukter. Angribere er også kendt for at bygge filløs malware designet til at glide forbi endpoint-sikkerhedsagenter. Brugerenheder har en enorm kodebase, som angribere kan målrette mod, inklusive operativsystemkode og middleware.
"Tab vil fortsætte med at stige, efterhånden som ransomware bliver mere sofistikeret og kan forårsage større skade," siger Zamir. "Hvis ransomware tidligere var begrænset til at kryptere lokale filer og kræve en løsesum for dekryptering, kunne næste generations ransomware automatisk lække nogle af dataene for at vise den potentielle skade eller endda gå længere og kryptere eller lække data i cloud-systemer, der er t tilgængelig lokalt på slutpunktet."
Relateret indhold:
Kelly Sheridan er Staff Editor hos Dark Reading, hvor hun fokuserer på cybersikkerhedsnyheder og -analyser. Hun er en forretningsteknologijournalist, der tidligere har rapporteret for InformationWeek, hvor hun dækkede Microsoft, og Insurance & Technology, hvor hun dækkede finans... Se hele bio
Flere indsigter
