Nos e-mails de extorsão, os cibercriminosos ameaçam publicar informações comprometedoras sobre suas vítimas, como uma foto constrangedora, e exigem pagamento em criptomoeda. Os invasores geralmente compram as credenciais de login das vítimas ou as obtêm por meio de violações de dados para “provar” que sua ameaça é legítima.
Para obter uma melhor compreensão da infraestrutura financeira usada pelos invasores em e-mails de extorsão, a Barracuda fez parceria com pesquisadores da Universidade de Columbia para analisar mais de 300.000 e-mails capturados pelos detectores baseados em IA da Barracuda Networks durante um período de um ano, quando foram detectados ataques de extorsão.
🔎Exemplo de carta de apresentação exorbitante (Imagem: Barracuda Networks)
A seguir veremos mais de perto as moedas usadas nesses ataques, como os invasores usam os endereços Bitcoin, o volume de e-mails enviados e as quantias de dinheiro solicitadas.
Criptomoedas usadas por invasores de extorsão
No conjunto de dados examinado, o Bitcoin é a única criptomoeda usada pelos invasores. Existem vários motivos pelos quais os criminosos usam o Bitcoin como método de pagamento preferido para resgates. O Bitcoin é em grande parte anônimo, as transações são processadas por meio de endereços de carteira e qualquer pessoa pode gerar quantos endereços de carteira quiser.
Além disso, a infraestrutura em torno do Bitcoin é bem desenvolvida, facilitando a compra de Bitcoin pelas vítimas e permitindo que os invasores anonimizem ainda mais suas ações usando os chamados “mixers”. Esses são serviços projetados para ocultar o histórico de transações, combinando e dividindo aleatoriamente Bitcoins de diversas carteiras. Além disso, devido à natureza pública da blockchain, os extorsionistas podem facilmente verificar se a vítima pagou ou não, eliminando alguns dos problemas encontrados nas transações tradicionais.
Análise de endereços Bitcoin
Embora o Bitcoin seja anônimo, você ainda pode obter informações muito interessantes sobre os invasores e seu comportamento analisando os endereços Bitcoin em seus e-mails de extorsão. Por exemplo, se o mesmo endereço Bitcoin for usado em vários e-mails recebidos de usuários, isso mostra que pertence ao mesmo invasor ou grupo de invasores.
Ao analisar o conjunto de dados examinados, os pesquisadores descobriram que os ataques estão concentrados em um pequeno número de endereços Bitcoin. No total, havia cerca de 3.000 endereços Bitcoin exclusivos, dos quais os 10 primeiros apareceram em cerca de 30% dos e-mails e os 100 primeiros apareceram em cerca de 80% dos e-mails. Isto sugere que um pequeno número de invasores é responsável pela grande maioria dos e-mails de extorsão. Portanto, se você puder impedir esses invasores ou bloquear efetivamente seus métodos, grande parte dessa ameaça por e-mail poderá ser neutralizada.
Análise cruzada de endereço Bitcoin e remetente de e-mail
Outra informação importante para atribuir e-mails a invasores específicos são os campos de e-mail. Por exemplo, o campo “Remetente” de cada e-mail pode ser visto como um proxy para o invasor. Se vários e-mails vierem do mesmo remetente, eles pertencem ao mesmo invasor. A pesquisa agrupou os e-mails pelo campo “remetente” e contou o número de e-mails que cada remetente enviou, bem como o número de endereços Bitcoin exclusivos que cada remetente usou.
Isto mostrou que a grande maioria de todos os remetentes utilizou o mesmo endereço Bitcoin nos seus ataques. Isso se aplica tanto a invasores que enviaram grandes quantidades de e-mails quanto a chantagistas que trabalharam apenas com pequenas quantidades. Além disso, dos 120.000 mil remetentes únicos em todo o conjunto de dados, menos de 3.000 mil enviaram mais de dez emails. Apenas oito remetentes enviaram mais de 500 emails.
Isso mostra que os invasores são um tanto negligentes em ocultar suas identidades e, na grande maioria dos casos, usam o mesmo endereço Bitcoin para seus golpes. Isso cria a possibilidade de que esse pequeno número de endereços Bitcoin (e invasores) possa ser rastreado pelas autoridades.
Quanto dinheiro os chantagistas exigem?
Para compreender melhor o comportamento dos atacantes, os investigadores também examinaram quanto dinheiro os atacantes exigiram e quão consistente era o montante no conjunto de dados examinado. Dos 200.000 e-mails dos quais os endereços Bitcoin puderam ser extraídos, 97 por cento pediram dólares americanos, 2,4 por cento por euros e os restantes 0,6 por cento por libras esterlinas, dólares canadenses, bitcoins, etc. os pesquisadores o converteram no valor equivalente em dólares americanos do dia em que o e-mail foi enviado para comparação. Os resultados foram os seguintes:
- Quase todos os invasores exigem uma quantia entre US$ 400 e US$ 5.000
- 25 por cento dos e-mails solicitam um valor inferior a US$ 1.000
- Mais de 90% dos e-mails de extorsão solicitam um valor inferior a US$ 2.000
- Os invasores normalmente exigem quantias entre US$ 500 e US$ 2.000
Isto sugere que as quantias de dinheiro exigidas pelos atacantes estão mais concentradas numa área de “ponto ideal”. Isso é alto o suficiente para ser significativo para o invasor, mas não tão alto a ponto de fazer com que a vítima não efetue o pagamento ou investigue se o invasor realmente possui informações comprometedoras (o que geralmente não é o caso). Além disso, o valor não dispara alarme para o banco ou o fisco da vítima.
Maneiras de se proteger contra ataques de extorsão
Se as autoridades responsáveis pela aplicação da lei localizarem mesmo um pequeno número de atacantes, as operações criminosas podem ser gravemente perturbadas. Além disso, à medida que os extorsionários adotam táticas uns dos outros, os provedores de segurança de e-mail deverão ser capazes de bloquear uma grande porcentagem desses ataques usando ferramentas simples de detecção. Aqui estão quatro práticas recomendadas que as empresas podem usar para se defenderem contra esses tipos de ataques:
- Proteção baseada em IA: Os invasores adaptam os ataques de extorsão para contornar gateways de e-mail e filtros de spam, portanto, uma boa solução de spear phishing que proteja contra extorsão é essencial.
- Proteção contra controle de conta: Muitos ataques de extorsão vêm de contas comprometidas. Portanto, é importante garantir que os fraudadores não utilizem a empresa como base para esses ataques. É aqui que as tecnologias que utilizam inteligência artificial para detectar quando as contas foram comprometidas podem ajudar.
- Investigações proativas: Dada a natureza embaraçosa dos esquemas de extorsão, os funcionários podem estar menos dispostos do que o habitual a denunciar estes ataques. Portanto, as empresas devem realizar verificações regulares das mensagens entregues para identificar e-mails relacionados a alterações de senha, avisos de segurança e outros conteúdos.
- Treinamento de conscientização sobre segurança: As empresas também devem educar os usuários sobre ataques de extorsão e incluir o tema em seu programa de treinamento de conscientização em segurança. Deve-se garantir que os funcionários reconheçam esses ataques, compreendam a sua natureza fraudulenta e se sintam confortáveis em relatá-los. O uso de simulações de phishing também ajuda a testar a eficácia do treinamento e a identificar os usuários mais vulneráveis a ataques de extorsão.
A extorsão de correio eletrónico é uma ameaça significativa, com os atacantes a enviarem milhões de mensagens maliciosas às vítimas todos os anos, mas parece ser cometida por um pequeno número de perpetradores e que estes grupos utilizam táticas semelhantes. Isso nos deixa otimistas quanto ao combate a essa ameaça específica de e-mail.
Por Dr. Klaus Gheri, vice-presidente e gerente geral de segurança de rede da Barracuda Networks
Sobre a Barracuda Networks A Barracuda se esforça para tornar o mundo um lugar mais seguro e acredita que todas as empresas devem ter acesso a soluções de segurança em toda a empresa habilitadas para nuvem que sejam fáceis de adquirir, implantar e usar. A Barracuda protege e-mail, redes, dados e aplicativos com soluções inovadoras que crescem e se adaptam ao longo da jornada do cliente. Mais de 150.000 empresas em todo o mundo confiam na Barracuda para que possam se concentrar no crescimento de seus negócios. Para mais informações, visite www.barracuda.com.
Artigos relacionados ao tema