認識變臉詐騙/BEC- (Business Email Compromise) 商務電子郵件詐騙與防禦之道

北市某貿易公司業務經理的電郵帳號遭仿冒,宣稱上游供應商要求變更匯款帳戶,逕行匯款,損失折合台幣近百萬元。這就是近年相當猖獗的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise,簡稱 BEC),報導指出,光是去年一年,美國聯邦調查局就接到超過1萬2千件投訴,被害金額約台幣110億元;而國內去年受害報案件數也有55件,被騙金額超過6千萬元,平均每件財損超過百萬元,今年1至5月也已發生26件。

美國聯邦調查局(FBI)將商務電子郵件詐騙(BEC)定義成針對與外國供應商合作企業或經常進行匯款支付企業的精密騙局。原本稱為Man-in-the-Email詐騙,這些詐騙會侵入公開的企業郵件帳號來進行非授權的轉帳。根據美國聯邦調查局指出,在2013年10月到2015年8月間,BEC詐騙已經造成美國受害者將近7.5億美元的損失,影響超過7,000人。全球網路犯罪份子從美國以外的受害者詐騙了超過5,000萬美元。

BEC詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚(Phishing)手法達成,不過,駭客為了讓人更容易上鉤,改為直接內嵌多家郵件服務的HTML網頁。相關文章:變臉詐騙 (BEC) :執行檔易被起疑心, 改用 HTML 附件讓你上鉤!

本部落格曾分享過網路犯罪個體戶崛起,HawkEye 鍵盤側錄程式,攔截台灣在內的中小企業交易資料,本文將更進一步說明這類企業郵件詐騙運作方法與防禦之道。

在過去兩年來,詐騙分子入侵企業正式電子郵件帳號並利用這些帳號進行詐欺性轉帳,從這些企業身上竊取了數百萬美元。在2015年1月,網路犯罪申訴中心(IC3)和美國聯邦調查局發表一個公開聲明,警告針對外國供應商合作企業的一種「精密騙局」。顯然地,跟商務/企業電子郵件詐騙(Business Email Compromise,BEC)相關的電腦入侵事件在成長,詐騙者偽裝成高階主管,從看似合法的來源寄送釣魚郵件,要求匯款至詐騙用帳戶。這些手法最終導致成功的入侵及可以不受阻礙地存取受害者憑證。

 

什麼是商務電子郵件詐騙?

美國聯邦調查局(FBI)將企業郵件受駭(BEC)定義成針對與外國供應商合作企業或經常進行匯款支付企業的精密騙局。原本稱為Man-in-the-Email詐騙,這些詐騙會侵入公開的企業郵件帳號來進行非授權的轉帳。根據美國聯邦調查局指出,在2013年10月到2015年8月間,BEC詐騙已經造成美國受害者將近7.5億美元的損失,影響超過7,000人。全球網路犯罪份子從美國以外的受害者詐騙了超過5,000萬美元。

更新: 2016年變臉詐騙造成逾30 億美元損失.受害企業高達 22,000 家(內有完整報告)

它如何運作?

BEC詐騙往往從攻擊者入侵企業高階主管郵件帳號或任何公開郵件帳號開始。通常經由鍵盤側錄惡意軟體或網路釣魚(Phishing)手法達成,攻擊者會建立類似目標公司的網域或偽造的電子郵件來誘騙目標提供帳號資料。在監控受駭電子郵件帳號時,詐騙者會試著找出進行轉帳及要求轉帳的對象。詐騙者通常會進行相當的研究,尋找財務高階主管變動的公司,高階主管正在旅行的公司或是進行投資人電話會議來製造機會以進行騙局。

 

BEC詐騙有三種手法:

第一個手法: 透過偽造的郵件、電話或傳真要求匯款給另一個詐騙用帳戶

這個手法也被稱為「偽造發票騙局」、「供應商詐騙」和「發票變造騙局」,通常跟有供應商關係的企業有關。詐騙者透過偽造的郵件、電話或傳真要求匯款給另一個詐騙用帳戶。

 

第二個手法: 詐騙者自稱為高階主管(CFO、CEO、CTO等)、律師或其他類型的法定代表 繼續閱讀

< APT 攻擊 >鎖定中小企業變更供應商詐騙:歹徒如何利用35美元惡意軟體賺黑心百萬?

nfo@貴公司名字.com.tw
sales@貴公司名字.com.tw ….
中小業主請小心!!「官方」對外信箱內的社交工程郵件陷阱

趨勢科技最新的研究 – 深入HawkEye(鷹眼)裡,發現了各種網路犯罪分子利用監控受害者信箱所收集來的資訊以從企業竊取金錢的方法。其中的一個例子 – 「變更供應商」是當中最值得注意的,因為這類騙局可以為網路犯罪分子賺得數百萬美元。本文詳細介紹這種騙局,以及為什麼它會對中小型企業和使用者造成很大的威脅。

Hawkeye 鷹眼 中小企業

 

步驟一:選擇官方服務信箱成為犯罪目標

根據趨勢科技對此種騙局的監視顯示出它比一般攻擊要更加具有針對性也更加計畫長遠。網路犯罪分子在部署攻擊時往往是用「亂槍打鳥法」 – 將特製的電子郵件寄送到名單上的所有人(可能跟其他網路犯罪分子買來)。但我們在這此案例中所看到的則大不相同,這些網路犯罪分子專門針對中小型企業的公開電子郵件地址。我們的資料顯示出這些都是「官方」公司郵件地址,格式通常為info@companyname.com或sales@companyname.com。

圖1、目標郵件地址的類型

這是一種有趣的策略,因為公司的官方郵件地址通常用來接收來自未知寄件者的郵件,這就讓網路犯罪分子佔了一些好處。如果管理郵件帳號的團隊不夠精明到能夠識別社交工程郵件,就很有可能會打開這些網路犯罪分子所送來的郵件。

繼續閱讀

奈及利亞駭客新手法 「鷹眼」勒索全球中小企業

中小企業主應採「管家式」防毒服務  保護交易不受駭

 【2015年6月29日台北訊】趨勢科技發現2個奈及利亞駭客集團,專門勒索全球開發中國家的中小企業,不只是竊取資訊、而是進一步攔截受害企業的交易行為,讓企業或客戶把款項付給歹徒所持有的帳戶。趨勢科技呼籲台灣中小企業主,為了避免金錢與商譽受損,需立即強化資安防禦機制,除了安裝資訊安全軟體之外,兼具專家服務及主動式防護的「管家式」防毒服務,可隨時監控異常的病毒行為,即時提出被駭警示,可幫助中小企業在有限的人力與預算內能享有最佳防護。目前趨勢科技也免費提供替中小企業主量身打造的雲端防毒服務試用機會,請看詳情 。

攻擊 入侵 駭客 一般 資料外洩

 

趨勢科技資深技術顧問簡勝財表示,不是只有進階惡意程式才可能危及企業營運,駭客現在只需要一個簡單的後門程式就已足夠。趨勢科技旗下的「前瞻威脅研究團隊」,日前密切監控了兩個奈及利亞詐騙集團的行動(代號分別為 Uche 和 Okiki),這兩個行動專門攻擊開發中國家的中小企業,它們不光竊取資訊,還會攔截受害企業與其合作夥伴之間的交易資訊。而歹徒採用的就是一個只需 35 美元就可取得的簡易後門程式:鷹眼(HawkEye)。

簡勝財指出,儘管歹徒使用的惡意程式很簡單,但其手法卻不單純。Uche 和 Okiki 已不再是以往常見的一人犯罪集團,也不再只是單純地將竊取到的資訊轉賣給他人而已,他們會善用竊取的資訊,來設法從受害企業身上榨出更多利潤。

例如,一般網路犯罪集團偏愛「快速掠奪」的技倆,例如散布一波挾帶惡意附件的垃圾郵件,一有受害者上鉤就把握機會好好敲詐一番,但 Uche 和 Okiki 的攻擊卻是採用另外一種手法慢慢地與受害者互動以建立信任。歹徒專門鎖定中小企業用來回覆外部詢問的電子郵件信箱,首先發送不帶任何惡意附件或陷阱的詢問信件到這些信箱,然後積極地透過郵件往返與這些中小企業互動,等到取得目標企業的信任,就藉由先前溝通的情境寄送後門程式「鷹眼」(HawkEye) 給目標企業,以感染並滲透對方的電腦。

 

Okiki 發送至攻擊目標的實際郵件樣本
圖 1:Okiki 發送至攻擊目標的實際郵件樣本

 

 

駭客的目的,不在竊取網路銀行或社群網站等帳號的登入資訊,而是更大的目標:公司的電子郵件帳號控制權!這種手法的轉變,為歹徒製造了更多機會,因為這樣就能看到中小企業與合作夥伴或客戶之間的電子郵件往來、交易以及所有其他資訊。有了這些資訊,駭客就能想出更多詭計,包括:攻擊受害企業的相關機構、或藉由橫向移動滲透到母公司、或是利用「供應商資訊變更」進行詐騙等。

繼續閱讀