Cybercriminelen rammelen voortdurend aan de deur van bedrijven, maar weinig aanvallen zijn zo sluw en schaamteloos als Business Email Compromise (BEC). Deze social engineering-aanval gebruikt e-mail als toegangspoort tot een organisatie, waardoor aanvallers slachtoffers kunnen oplichten en bedrijfsgeld kunnen afhandig maken.

BEC-aanvallen maken vaak gebruik van e-mailadressen die lijken op adressen van het eigen bedrijf van het slachtoffer of van een vertrouwde partner, zoals een leverancier. Deze domeinen zijn vaak verkeerd gespeld of gebruiken verschillende tekensets om domeinen te genereren die lijken op een vertrouwde bron, maar die kwaadaardig zijn.

Oplettende medewerkers kunnen deze kwaadaardige adressen herkennen en e-mailsystemen kunnen ze afhandelen met behulp van e-mailbeveiligingstools zoals het Domain-based Message Authentication, Reporting and Conformance (DMARC) e-mailauthenticatieprotocol. Maar wat als een aanvaller een domein kan gebruiken dat iedereen vertrouwt?

Wanneer betrouwbare bronnen niet te vertrouwen zijn

Het cybersecuritybedrijf Guardz ontdekte onlangs dat aanvallers precies dat deden. Op 13 maart publiceerde het een analyse van een aanval waarbij de cloudresources van Microsoft werden gebruikt om een ​​BEC-aanval overtuigender te maken.

Aanvallers gebruikten de eigen domeinen van het bedrijf en profiteerden van onjuiste configuraties van tenants om de controle over te nemen van legitieme gebruikers. Aanvallers kregen controle over meerdere M365-tenants binnen de organisatie, door er een aantal over te nemen of hun eigen tenants te registreren. De aanvallers maakten beheerdersaccounts aan voor deze tenants en stelden hun eigen regels voor het doorsturen van e-mail in.

Vervolgens misbruiken ze een Microsoft-functie die de naam van een organisatie weergeeft en gebruiken deze om een ​​frauduleuze transactiebevestiging in te voegen, samen met een telefoonnummer om te bellen voor een terugbetalingsverzoek. Deze phishing-sms komt door het systeem heen omdat traditionele e-mailbeveiligingstools de naam van de organisatie niet scannen op bedreigingen. De e-mail komt in de inbox van het slachtoffer terecht omdat het domein van Microsoft een goede reputatie heeft.

Wanneer het slachtoffer het nummer belt, doet de aanvaller zich voor als een klantenservicemedewerker en probeert hem of haar te overtuigen malware te installeren of persoonlijke gegevens te verstrekken, zoals inloggegevens.

Een toenemende golf van BEC-aanvallen

Deze aanval benadrukt het aanhoudende spookbeeld van BEC-aanvallen, die in de loop der tijd zijn toegenomen. De meest recente gegevens (2024) van de FBI melden een wereldwijd verlies van $55.5 miljard als gevolg van BEC-aanvallen tussen 2013 en 2023 – een stijging ten opzichte van bijna $51 miljard in het jaar daarvoor.

Dit is ook niet de eerste keer dat BEC- en phishingaanvallen gericht zijn op Microsoft 365-gebruikers. In 2023 constateerden onderzoekers een snelle opkomst van W3LL, een phishingkit die specifiek Microsoft 365-accounts compromitteerde door multifactorauthenticatie te omzeilen.

Wat u kunt doen

De beste aanpak om BEC-aanvallen te bestrijden is, net als bij de meeste andere cyberbeveiligingsmaatregelen, een meerlaagse aanpak. Criminelen kunnen wellicht één beveiligingslaag doorbreken, maar het is minder waarschijnlijk dat ze meerdere hindernissen kunnen overwinnen. Beveiligings- en controlekaders, zoals ISO 27001 en het Cybersecurity Framework van NIST , bieden goede maatregelen om oplichters te ontwijken. Deze kaders helpen bij het identificeren van kwetsbaarheden, het verbeteren van e-mailbeveiligingsprotocollen en het verminderen van de blootstelling aan aanvallen op basis van inloggegevens.

Technologische maatregelen zijn vaak een nuttig wapen tegen BEC-oplichters. Het gebruik van e-mailbeveiligingsmaatregelen zoals DMARC is veiliger dan niet, maar zoals Guardz aangeeft, zullen ze niet effectief zijn tegen aanvallen via vertrouwde domeinen.

Hetzelfde geldt voor contentfiltering met behulp van een van de vele beschikbare tools voor e-mailbeveiliging. Hoewel het de sluwe techniek voor het insluiten van bedreigingen, die in de aanval van maart werd gemeld, niet zou hebben opgemerkt, is het over het algemeen toch een nuttige maatregel. Geavanceerde contentanalyse die kijkt naar organisatievelden en metadata is optimaal.

Evenzo zijn voorwaardelijke toegangsbeleidsregels een waardevolle manier om sommige BEC-aanvallen te stoppen, waaronder het gebruik van multifactorauthenticatie (MFA). Deze bescherming, die een tweede out-of-band authenticatiemechanisme gebruikt om de identiteit van de gebruiker te bevestigen, is echter niet waterdicht. Omgekeerde proxy-aanvallen, waarbij de aanvaller een tussenliggende server gebruikt om de MFA-referenties van een slachtoffer te verzamelen, zijn welbekend. Een dergelijke aanval vond plaats in 2022 en was gericht op 10,000 organisaties die M365 gebruikten. Gebruik dus MFA, maar vertrouw er niet alleen op.

Krijg medewerkers aan boord

Veel aanvallen worden niet afgeweerd door technische maatregelen, maar door een waakzame medewerker die verificatie van een ongebruikelijk verzoek eist. Het spreiden van beschermingsmaatregelen over verschillende aspecten van uw organisatie is een goede manier om risico's te minimaliseren door middel van diverse beschermingsmaatregelen. Menselijke en organisatorische maatregelen zijn daarom essentieel in de strijd tegen oplichters. Train regelmatig om BEC-pogingen te herkennen en ongebruikelijke verzoeken te verifiëren.

Vanuit organisatorisch oogpunt kunnen bedrijven beleid implementeren dat zorgt voor veiligere processen bij het uitvoeren van risicovolle opdrachten – zoals grote geldtransfers – waarop BEC-oplichters zich vaak richten. Scheiding van taken – een specifieke beheersmaatregel binnen ISO 27001 – is een uitstekende manier om risico's te verminderen door ervoor te zorgen dat meerdere personen betrokken zijn bij de uitvoering van een risicovol proces.

Snelheid is essentieel bij het reageren op een aanval die deze verschillende controles wel doorstaat. Daarom is het ook een goed idee om uw incidentrespons te plannen voordat een BEC-aanval plaatsvindt. Maak draaiboeken voor vermoedelijke BEC-incidenten, inclusief coördinatie met financiële instellingen en wetshandhavingsinstanties, die duidelijk beschrijven wie verantwoordelijk is voor welk deel van de respons en hoe deze twee op elkaar inwerken.

Continue beveiligingsmonitoring – een fundamenteel principe van ISO 27001 – is ook cruciaal voor de beveiliging van e-mail. Rollen veranderen. Mensen vertrekken. Het is essentieel om de toegangsrechten nauwlettend in de gaten te houden en te letten op nieuwe kwetsbaarheden om gevaren af ​​te wenden.

BEC-oplichters investeren in de ontwikkeling van hun technieken omdat ze winstgevend zijn. Eén grote oplichterij is al genoeg om de moeite te rechtvaardigen die ze steken in het benaderen van belangrijke leidinggevenden met financiële verzoeken. Het is het perfecte voorbeeld van het dilemma van de verdediger, waarbij een aanvaller maar één keer hoeft te slagen, terwijl een verdediger elke keer moet slagen. Dat zijn niet de kansen die we graag zouden willen, maar het invoeren van effectieve controlemechanismen helpt om ze evenwichtiger in balans te brengen.