Психология ВЕС-атак: новые формы и способы защиты от них

Современные фишинг-атаки – лидеры в списке самых опасных прогнозируемых киберугроз  2019 г. Из года в год они становятся все более организованными, технически совершенными и психологически изощренными. Их цель – кража посредством e-mail денежных средств пользователей, а также любых данных, которые можно монетизировать.

 Какими обновленными фишинг-форматами пользуются кибер-мошенники и как в этой связи обезопасить себя, а также ценные информационные активы своей бизнес-среды?  

Только в США, ущерб от фишинг-нападений на бизнес-сектор в прошлом году специалисты  компании  Trend Micro оценили в 9 млрд. дол. Львиная доля наиболее успешно реализуемых разновидностей фишинга на сегодняшний день приходится на ВЕС-атаки (от абревиатуры  Business Email Compromise  - компрометация деловой переписки).  Учитывая, что доступ к счетам организаций более «прибыльный», чем в случае с физлицами, кибермошенники все чаще атакуют крупные компании с многомиллионными оборотами.  В частности, по оценкам  ФБР, мошенничества с участием ВЕС уже обошлись мировым компаниям более, чем в 5 млрд долларов с 2013 года.

ВЕС-атаки – это, по сути, имитация сообщений от топ-менеджмента предприятия или от имени скомпрометированной, как правило, «статусной» структуры (например, налоговой, государственного регулятора, суда, силового ведомства и. т.д), предписывающие перевести на конкретный счет определенную сумму денег или же загружающие вредоносное ПО по ссылкам или документам, прикрепленным к письму. Это достигается путем подделки адреса отправителя, создания домена, похожего на домен целевой компании, или создания бесплатного адреса электронной почты, который будет напоминать адрес e-mail руководителя.

Киберпреступники делают ставку на авторитарность управления, невыстроенную коммуникацию, которая  существует в крупных компаниях, и автоматизацию многих корпоративных бизнес-процедур. Идеальные жертвы ВЕС-мошенников – персонал, который не задает лишних вопросов, гиперисполнителен и «перегружен» работой. Основной удар злоумышленников направлен на финансово ответственных сотрудников в структуре управления предприятием. «Группу  риска» составляют финансовые директора, персонал финансового отдела, бухгалтерии, сотрудники компании, имеющие отношение к денежным переводам.

Что же притупляет бдительность вполне адекватных сотрудников? Что заставляет их нажимать на вредоносные ссылки, загружая и открывая вредоносные эксплойты, добровольно «сливать» свои персональные данные, переводить деньги на счета мошенников? Ответ кроется в искусной манипуляция человеческими «слабостями», которая, как известно, невидима и заставляет жертву предпринимать действия исключительно в интересах мошенника, а также в базовом знании устройства предприятия, особенностей ее иерархической коммуникации.   

Одно из главных качеств киберпреступника - умение предугадать поведение жертвы. На подготовительном этапе мошенник находит «цель», собирает информацию о жертве и ее «уязвимостях», выбирает средства воздействия, оценивает обстоятельства, планирует действия.  Помогают мошенникам профили в соцсетях Facebook, Twitter, LinkedIn, Instagram и корпоративный сайт, которые формируют психологический портрет жертвы и диагностируют «слабые места», на которых можно сыграть при контакте. Важным фактором, влияющем на реализацию мошенничества является возможность сохранения полной анонимности пользователя устройства и сети, в условиях которых любой человек ощущает возможность безнаказанно реализовывать любые виды мошенничества.

Какими «слабостями» в структуре личности жертв пользуются киберпреступники? Их 5. Страх, жадность, послушание, желание помочь, иногда любопытство. Как правило, злоумышленники или запугивают жертв значимыми для них проблемами, или запрашивают стандартные процедуры, которые осуществляются по e-mail. Среди основных формулировок тем, используемых кибермошенниками для электронных писем – «предупреждение о сбросе пароля базы данных», «блокировка аккаунта», «изменение корпоративной почты», «срочный перевод», «распоряжение», «заказ на покупку», «счет-фактура», «квитанции», «поздравление».  При этом мошенник очень умело использует манипулятивную ловушку дефицита времени, направленную на совершение выгодных злоумышленнику действий без критического анализа жертвы при искусственном ограничении времени.

В этой связи комплексная защита от BEC-мошенничеств на уровне компаний помимо технических аспектов  (установка фишинг-ловушек через веб-формы для определения рисков утечки данных; усовершенствование фильтров почты; диагностика корпоративных пользователей, нажимающие на подозрительные ссылки в фишинговых письмах) должна обязательно включать психологические методы защиты лиц, имеющие отношения к финансовым операциям внутри компании. Основной принцип такой защиты – это знания и навыки диагностики целевых фишинг-атак, осознание персональных «уязвимостей» сотрудников и овладение технологиями противодействия манипуляциям, смысл которых сводится к разрыву «сценария срочного действия», который навязывается извне.

Среди базовых лайфхаков для защиты от BEC-атак предусматривается:

- дополнительная проверка запросов по платежам, особенно тех, которые связаны с большими суммами;

- тщательная проверка любых изменений, произошедших в адресе получателя платежа и контактной информации, указанной в письме, с разных источников;

- дополнительная проверка легитимности финансовых операций при помощи личного обращения или телефонного звонка руководству.

В любом случае, повышение уровня осведомленности персонала о киберугрозах и способах противодействию им – сегодня уже необходимый шаг к укреплению информационной безопасности предприятия и сохранности его ценных информационных активов. Ведь информация давно стала, по словам известной писательницы Кристины Дэвер, самым ценным товаром в мире после времени. И подобный товар гораздо дороже любых денег…