Letzten Herbst erhielt ein neu eingestellter Verwaltungsassistent für eine renommierte Anwaltskanzlei der Ostküste drei E-Mails über sechs Monate von einem Partner, in denen sie gebeten wurde, insgesamt 240 000 USD an einen externen Berater zu überweisen.
Da sie einem ihrer Vorgesetzten nicht widersprechen wollte, hat der Administrator die Überweisungen vorgenommen. Alles schien in Ordnung zu sein – bis ein paar Monate später, als sich herausstellte, dass sich ein Cyberdieb als Partner ausgeben und das Geld entführt hatte. Das Unternehmen reichte einen Cyber-Versicherungsanspruch für seine Verluste ein, wurde aber abgelehnt, da sein Mitarbeiter keine interne duale Authentifizierungsrichtlinie befolgt hatte, die mehrere Stakeholder zur Überprüfung großer Transfers verpflichtete.
„Geschäfts-E-Mail-Kompromisse neuer Mitarbeiter wie diese werden leider allzu häufig“, sagt Kirsten Bay, CEO von Cysurance, einer Cyber-Versicherungsagentur. „Angreifer achten oft auf neue Unternehmens-E-Mail-Adressen oder Social-Media-Postings über Menschen, die neue Jobs beginnen. Sie geben sich dann digital als Führungskräfte des Unternehmens aus und nutzen die Zurückhaltung der Mitarbeiter, um die Legitimität von E-Mails von leitenden Mitarbeitern in Frage zu stellen.“
Während viele Unternehmen heute Ransomware als ihr Hauptanliegen betrachten, nehmen die Häufigkeit, Komplexität und Schwere von Business-E-Mail-Kompromittierungsangriffen (BEC) (Öffnung in einer neuen Registerkarte) zu, die bereits viel länger sind.
„Ransomware erhält die ganze Aufmerksamkeit, weil es sexyer, coolere, Tarn-und-Dagger-Angriffsarten ist“, sagt Eric Gyasi, Vice President of Engagement Management und Anwalt bei Stroz Friedberg, einem Aon-Unternehmen. „Der Kompromittierung geschäftlicher E-Mails hingegen ist nichts, worüber die Leute gerne sprechen. Sie tritt oft auf, wenn sie betrügt wurden und sie sich daher dumm fühlen. Die Öffentlichkeit hört also nicht so viel über sie. Es ist jedoch genauso weit verbreitet in Bezug auf das Volumen wie Ransomware-Angriffe – wenn nicht sogar mehr.“
Eine ruhig wachsende Bedrohung
Tatsächlich führt das Internet Crime Complaint Center (IC3) des FBI das BEC als das finanziell schädlichste Internetdelikt auf. Im Jahr 2021 führten Betrugsfälle von BEC und EAC (Email Account Compromise) laut dem FBI zu globalen Cyberverlusten von rund 2,4 Milliarden US-Dollar (Öffnungen in einer neuen Registerkarte) im Vergleich zu 49,2 Millionen US-Dollar durch Ransomware. Darüber hinaus stiegen die Dezember 2021BEC/EAC-Angriffe zwischen Juli 2019 und um 65 % und haben seit 2016 (eröffnet in einer neuen Registerkarte) Kostenorganisationen in Höhe von ca. 43,3 Milliarden US-Dollar, so das FBI.
„Ransomware erregt die ganze Aufmerksamkeit, weil sie sexyer, cooler, tarn-und-dagger-Angriffsarten ist.“Eric Gyasi, Vice President of Engagement Management, Stroz Friedberg
BEC richtet sich typischerweise an Unternehmen, die regelmäßig Überweisungen durchführen. Betrüger erhalten Zugriff auf ein E-Mail-Konto eines Mitarbeiters, um mehr über die Anbieter des Unternehmens zu erfahren. Sie senden dann eine betrügerische Anfrage für eine Überweisungszahlung an einen Anbieter. Der Anbieter wird dann dazu verleitet, Geld auf ein vom Täter kontrolliertes Konto zu senden.
Früher waren diese Dinge ziemlich leicht zu erkennen. Der Benutzer konnte in E-Mails nach schrecklich reproduzierten Markenlogos, gebrochenem Englisch oder lächerlichen Kommentaren suchen und davon ausgehen, dass es sich um Phishing-Versuche handelte. Cyberkriminelle sind jedoch heutzutage effektiver darin, ihre Spuren zu decken. Sie fälschen CEO- und CFO-E-Mail-Adressen und senden falsche Mitteilungen an Empfänger, die nicht vom wahren Artikel zu unterscheiden sind.
Sie untersuchen auch Unternehmen und Mitarbeiteraktivitäten, um sich nahtlos in wichtige Gespräche in kritischen Momenten einzubinden. Wenn sie zum Beispiel von einer Fusion erfahren, können sie dieses Wissen nutzen, um sich als Teil des Geschäfts zu präsentieren und andere dazu zu bringen, ihnen Geld zu senden.
Dies geschieht häufiger als Unternehmen, die in fast jeder Branche weitermachen möchten, einschließlich:
- Immobilien, in denen Betrüger Hunderttausende Dollar an Verkäufer- und Käuferfonds umgeleitet haben. Ungefähr 13 638 Menschen waren im Jahr 2020 Opfer von Immobiliendrahtbetrug, mit Verlusten von insgesamt mehr als 213 Millionen US-Dollar, sagte das FBI. BEC verursachte einen riesigen Teil davon.
- Healthcare, wo Cyberkriminelle BEC-Angriffe gegen Zahlungsabwickler gestartet haben, um Opferzahlungen umzuleiten. Im April hat beispielsweise ein Gesundheitsunternehmen mit mehr als 175 medizinischen Anbietern entdeckt, dass jemand, der sich als Mitarbeiter ausgibt, die Anweisungen der automatisierten Clearingstelle (ACH) für einen ihrer Zahlungsverarbeitungsanbieter geändert hat, um etwa 840 000 USD an den Dieb und nicht an die beabsichtigten Anbieter zu leiten, so das FBI.
- Philanthropie, bei der Cyberkriminelle Gelder geplündert haben, um Menschen auf der ganzen Welt zu helfen. Während der Feiertage im Jahr 2020 haben Hacker beispielsweise eine legitim aussehende Rechnung dummed, sie an One Treasure Island gesendet, eine gemeinnützige Organisation in San Francisco, die Obdachlosen zugutekommt, und jemanden davon überzeugt, 650 000 USD in drei verschiedenen Zahlungen an ein Bankkonto in Odessa, Texas, zu senden. Die Organisation hat 37 000 US-Dollar von einem eingefrorenen Konto zurückgewonnen, aber den Rest verloren.
„Die menschliche Natur ist das, was sie ist, diese Betrugsfälle sind einfacher auszuführen, als Sie vielleicht denken.“Frank Dickson, Group Vice President und Security and Trust Analyst, IDC
Mit dem Grad an raffinierten Hackern ist klar, dass BEC-Angriffe nicht verschwinden. Wenn überhaupt, beschleunigen Fortschritte bei automatisierten Technologien wie künstliche Intelligenz (KI) und maschinellem Lernen (ML) sowie die kontinuierliche Weiterentwicklung von Deepfake-Audio und -Video ihre Bemühungen.
Aber mehr als das ist, dass BEC weiterhin erfolgreich ist, weil es auf die vertrauensvolle Natur von Menschen spielt. Die meisten Menschen fühlen sich nicht wohl dabei, E-Mails zu hinterfragen, die scheinbar von leitenden Führungskräften, geschätzten Partnern, Kunden oder den Medien stammen. Und sie überprüfen nicht immer jede E-Mail-Adresse, um sicherzustellen, dass sie im richtigen Unternehmensformat geschrieben ist, denn lassen Sie uns es uns anschauen, sie haben keine Zeit – und sie werden es wahrscheinlich nie tun.
Crucial Gegenmaßnahmen
Beobachter sagen, Unternehmen müssen menschliche Tendenzen durch die Implementierung der folgenden technologischen und verfahrenstechnischen Best Practices ausgleichen:
Investieren Sie in Bildung und Bewusstsein. Laut dem Verizon 2022 Data Breach Investigations Report haben 82 % der Datenschutzverletzungen „das menschliche Element beteiligt“, einschließlich sozialer Angriffe, Fehler und Missbrauch. Tatsächlich benötigt BEC im Gegensatz zu Ransomware oder anderen Angriffen nicht einmal Malware, um erfolgreich zu sein, sagt Frank Dickson, Group Vice President und Security and Trust Analyst bei der Forschungsfirma IDC. „Die menschliche Natur ist das, was sie ist, diese Betrugsfälle sind einfacher auszuführen, als Sie vielleicht denken“, sagt er.
Dickson sagt, dass die Investition in Schulungsprogramme unerlässlich ist, um Mitarbeitern dabei zu helfen, mögliche BEC-Versuche zu erkennen und darauf zu reagieren.
Multifaktor-Authentifizierung (MFA) implementieren. Multifaktor-Authentifizierung hat dazu beigetragen, Ransomware-Angriffe zu minimieren und ist jetzt eine grundlegende Anforderung bei Cyber-Versicherungspolicen. Das ist aus einem Grund: Zusätzliche Schecks und Salden zu haben, bevor jemand auf ein Netzwerk, eine E-Mail oder ein Finanzkonto zugreifen kann, kann einen BEC-Versuch stoppen. Umgekehrt kann das Nichtvorhandensein von MFA zu Katastrophen führen. Tatsächlich hatten von allen BEC-Fällen, die Arctic Wolf im ersten Teil des Jahres verfolgte, 80 % der betroffenen Organisationen keine MFA.
Nehmen Sie eine mehrschichtige Verteidigung an. Während BEC-Angriffe nicht unbedingt technologisch ausgereift sind, kann die Bereitstellung grundlegender Sicherheitsgegenmaßnahmen und die regelmäßige Aktualisierung von IT-Systemen helfen. Analysten empfehlen die Verwendung von Spamfiltern, die Implementierung sicherer File-Sharing-Prozesse und die Annahme von Zero-Trust-Ansätzen, bei denen jede Person oder Maschine, die versucht, auf ein Netzwerk zuzugreifen, als verdächtig gilt, bis sie sich anderweitig bewährt hat.
Während Ransomware weiterhin die weltweite Aufmerksamkeit erregt, sagen Beobachter, Unternehmen können geschäftliche E-Mail-Kompromittierungen nicht zu leicht nehmen. Diese unbemerkte Bedrohung verschwindet nicht. Wenn überhaupt, wächst sie in Häufigkeit, Komplexität und Schwere. Es ist wichtig, es jetzt anzugehen.
