Business Email Compromise (BEC) è un grande affare per i criminali informatici. Secondo il Cybercrime Study dell'FBI del 2021, BEC è stata responsabile di quasi 2021 miliardi di dollari di perdite nel 2,4.
Con la proliferazione di smartphone e tablet, gli aggressori ora vanno ben oltre la posta elettronica. Ora utilizzano anche altre piattaforme come messaggi di testo, app di messaggistica come Signal e WhatsApp e app di social media per attaccare e compromettere i loro obiettivi. Con così tante applicazioni SaaS che i dipendenti utilizzano ogni giorno, un singolo attacco di phishing riuscito potrebbe avere un impatto sull'intera organizzazione. Il cloud ha semplificato la produttività, ma ha anche aumentato l'impatto del phishing.
Che cos'è la compromissione della posta elettronica aziendale - BEC?
Negli attacchi BEC tradizionali, l'attaccante acquista o raccoglie elenchi di contatti contenenti nomi, indirizzi e-mail e numeri di telefono di direttori finanziari, team finanziari e fornitori. Viene inviato un messaggio mirato impersonando un alto dirigente (di solito il CEO) e contenente una richiesta di pagamento urgente, ad es. B. deve essere realizzato per un progetto con tempi critici. Gli aggressori spesso inviano decine di migliaia di messaggi di phishing all'anno e se solo una persona abbocca, ciò può comportare enormi perdite per un'azienda.
Tuttavia, il BEC si è sviluppato ben oltre questi parametri classici. Man mano che gli attacchi diventano più diffusi, le organizzazioni devono evolvere le proprie difese. Come per qualsiasi attacco di phishing, la consapevolezza e l'educazione sono il primo passo nella prevenzione, ma non certo l'unico.
Pensa oltre la posta elettronica per prevenire i rischi di phishing
I dispositivi mobili rappresentano una sfida maggiore per gli obiettivi di phishing, poiché la formazione sulla sicurezza informatica spesso non si rivolge ai dispositivi mobili. I corsi di formazione sul phishing in genere chiedono agli utenti di cercare indicatori che possono essere visualizzati solo su un computer desktop. Sfortunatamente, molte app di posta elettronica per dispositivi mobili non visualizzano l'indirizzo e-mail del mittente e limitano la possibilità di visualizzare in anteprima i collegamenti ipertestuali a siti Web potenzialmente falsi.
Ad aggravare il problema, le aziende si affidano alle comunicazioni mobili in ogni momento della giornata, soprattutto ora che la maggior parte degli utenti lavora da remoto. I dirigenti che comunicano con i propri team tramite e-mail mobile o app di messaggistica si aspettano un'attenzione immediata, che induce i dipendenti a cadere nelle truffe di phishing.
Inoltre, ci sono più canali attraverso i quali gli aggressori possono diffondere le loro truffe tramite telefono cellulare. Molti utenti non si aspettano che i collegamenti di phishing vengano forniti tramite piattaforme come la messaggistica SMS, Facebook Messenger, WhatsApp o Signal, ma sta diventando sempre più comune. L'FBI ha persino rilasciato una divulgazione pubblica secondo cui gli aggressori stanno ora utilizzando piattaforme di riunioni virtuali per condurre truffe BEC.
Il phishing moderno è la porta d'accesso alle aziende
Non solo i dispositivi mobili sono molto più facili da phishing, ma hanno altrettanto accesso alle applicazioni e ai dati che interessano alle aziende. Poiché gli utenti possono lavorare da qualsiasi luogo, che si tratti di uno smartphone o di un tablet, fanno sempre più affidamento su questi dispositivi. Qualsiasi errore commesso su questi dispositivi, anche se gestiti dal reparto IT, comporta rischi che possono compromettere l'infrastruttura.
Non esiste un approccio valido per tutti per prevenire BEC e phishing, ma un buon punto di partenza è riconoscere che gli attacchi di phishing non si limitano alla posta elettronica. Qualsiasi strategia che si concentra solo sulla posta elettronica trascura i metodi utilizzati per attaccare gli utenti mobili. Richiede inoltre un approccio di piattaforma unificata che protegga tutti gli endpoint, compresi i dispositivi mobili, dalle minacce basate sul web.
Altro su Lookout.com
A proposito di Lookout I co-fondatori di Lookout John Hering, Kevin Mahaffey e James Burgess si sono riuniti nel 2007 con l'obiettivo di proteggere le persone dai rischi per la sicurezza e la privacy posti da un mondo sempre più connesso. Ancor prima che gli smartphone fossero nelle tasche di tutti, si sono resi conto che la mobilità avrebbe avuto un profondo impatto sul modo in cui lavoriamo e viviamo.