BEC, uma grande fraude

Há algum tempo existe uma forma de esquema chamada "BEC", que significa "Business Email Compromise" ou "Compromisso de e-mail comercial".

Tem sido responsável por um grande número de fraudes cometidas em todo o mundo, que renderam aos criminosos milhões de dólares em qualquer moeda expressa; envolve o uso de e-mail para se fazer passar por um contato conhecido da vítima, seja de uma organização externa ou da organização à qual a vítima pertence, neste caso geralmente fazendo-se passar por alguém mais velho.

Esta forma de fraude envolve dois tipos principais de atividade criminosa:

• Falsificação de endereço de e-mail
• Compromisso de conta de e-mail

Falsificação de endereço de e-mail

O primeiro caso consiste no envio de e-mails mostrando um endereço de e-mail diferente como remetente do que aquele realmente utilizado. Isto é possível porque o protocolo SMTP não fornece um mecanismo para autenticação de endereço de e-mail. Assim, os criminosos podem modificar o cabeçalho de um e-mail para que ele pareça ter sido enviado de um endereço que não seja o verdadeiro. De fato, existem programas disponíveis na Internet para o envio de e-mails falsos, que permitem que isso seja feito muito facilmente, sem exigir nenhum conhecimento técnico por parte do atacante.

Note que esta forma de ataque permite basicamente o envio de e-mails falsos; para que o atacante receba as respostas que o destinatário possa dar, é necessário que os e-mails enviados tenham indicado que as respostas são enviadas para um endereço o mais próximo possível do real, controlado pelo atacante, tentando assim enganar a vítima.

A título de exemplo, se um criminoso tentar enganar alguém, fazendo-o acreditar que a pessoa que lhe escreve está escrevendo do endereço fulanodetal@empresa.com, ele pode manipular o e-mail a ser enviado colocando este endereço correto como remetente, mas fazendo com que a resposta seja enviada para o endereço fulanodetal@ernpresa.com, que terá sido criado pelo agressor e estará obviamente sob seu absoluto controle.

Esta forma de ataque permite que o infrator controle parcialmente a comunicação, assumindo o papel de uma das partes, mas não tendo controle sobre o que o impostor diz ou faz. Embora geralmente dê "bons" resultados ao agressor, gera situações extremamente confusas nas quais os e-mails do agressor se entrelaçam com os da pessoa real, às vezes levando à descoberta do engano no tempo.

Compromisso de conta de e-mail

Complementarmente, existe uma variante que dá ao infrator muito mais controle sobre os diálogos e ações e geralmente é muito mais difícil de detectar; ela ocorre quando o atacante consegue comprometer uma conta de e-mail, obtendo as credenciais de acesso a ela, da qual ele não precisa forjar nada, já que ele controla a conta real, ou melhor, ele compartilha o controle dela com seu proprietário.

Esta variante BEC geralmente tem como alvo as contas de e-mail dos executivos e do pessoal de nível C ou gerencial. Para isso, o infrator inicialmente usa diferentes técnicas de ataque, tais como engenharia social, malware, keyloggers, bem como ataques da categoria acima mencionada (spoofing de endereço de e-mail) com o objetivo final de obter credenciais de acesso à conta de e-mail da vítima.

Uma vez obtido o acesso, entre outras coisas, o criminoso pode monitorar e-mails, interceptar e-mails contendo instruções de pagamento e modificar detalhes bancários para direcionar fundos para contas sob seu controle.

Em geral, se um criminoso ganha acesso a uma conta de e-mail, ele pode fazer mais do que apenas acessar o e-mail. Entre outras coisas, eles podem:

Criar regras para leitura, resposta, exclusão e encaminhamento de e-mails para uma subpasta, para que a vítima não perceba.

• Monitorar acordos e pagamentos.
• Envie e-mails e depois os apague da pasta enviada.
• Remover avisos da área de segurança e tecnologia.
• Aprender sobre o estilo de escrita da vítima, saudações usadas e palavras-chave.
• Baixe documentos reais para edição e encaminhamento como parte de um embuste.

Mas o que você pode fazer para se proteger contra esses tipos de ameaças?

Embora seja verdade que não é uma defesa totalmente segura, se possível, é melhor usar a autenticação de dois fatores para autenticar o acesso às contas de e-mail.

Além disso, outras medidas podem ser implementadas para ajudar na defesa contra o envolvimento em um ataque BEC:

• Marcar e-mails de domínios externos na linha de assunto (dependente do servidor)
• Conduzir campanhas de conscientização de segurança, que ajudarão o pessoal a tomar melhores decisões em relação aos e-mails recebidos.
• Sempre que possível, validar por um meio confiável que não seja e-mail, com nossas contrapartes ou superiores, antes de enviar dinheiro ou informações confidenciais.
• Esteja atento à aparência de domínios semelhantes aos de nossa organização.
• Alterar freqüentemente a senha da nossa conta de e-mail.
• Implementar medidas para evitar a imposição de nosso domínio de correio.

Embora nenhuma dessas contramedidas, por si só, alcance a defesa total, todas elas se somam a um ambiente de correio menos inseguro.

Do Security Advisor, estamos disponíveis para ajudá-lo a alcançar este objetivo.

Autor: Hugo Köncke - Gerente de Consultoria Regional da Security Advisor

A conscientização é a melhor opção

A área de Consultoria da Security Advisor tem uma oferta de serviços orientada à conscientização dos Conselhos de Administração e da Alta Administração que permitem a estas instâncias da administração conhecer os conceitos fundamentais de cibersegurança, ameaças e casos atuais e o possível impacto sobre o negócio.

Para saber mais sobre nossos serviços de consultoria, clique aqui.

Para consultas, não hesite em entrar em contato conosco clicando aqui.