Unngå BEC-angrep: 8 bud som beskytter din bedrift. Business email compromise (BEC) fortsetter å være en av de raskest voksende og mest risikable angrepsvektorene for selskaper, ettersom det har blitt en virksomhet på flere millioner dollar som forårsaker nesten 80 ganger mer tap enn ransomware. En fersk studie viser at registrerte BEC-angrep nesten doblet seg i løpet av 2022, og det gjennomsnittlige beløpet som ble stjålet i disse angrepene økte også og nådde $ 50,000. Beskyttelse mot disse angrepene er avgjørende for å beskytte et selskaps integritet og omdømme, uavhengig av størrelse, samt for å beskytte økonomiske eiendeler og personvernet til enkeltpersoner. Dette krever en omfattende strategi som adresserer både tekniske og menneskelige sårbarheter, med andre ord en kombinasjon av proaktive tiltak som å distribuere en enhetlig sikkerhetsplattform som samler lagdelte sikkerhetsløsninger og sikkerhetsopplæring, som spiller en viktig rolle i å utdanne ansatte om taktikken som brukes i BEC-angrep og hvordan man gjenkjenner dem.
Unngå BEC-angrep: 8 bud som beskytter din bedrift
1. Spesielt fokus på BEC-angrep:
BEC-angrep har ikke egne CIS-kontroller på plass, så det er nødvendig å følge nøye med på disse angrepene, spesielt når det gjelder prosesser knyttet til oppdatering av bankkontoer. For dette må det opprettes en kontobeholdning, inaktive kontoer må deaktiveres og tilgangsprosesser og prosesser for tilbakekalling av tilgang må etableres.
2. Bevisstgjøring og opplæring:
Brukere bør få regelmessig opplæring i taktikken som brukes i BEC-angrep og lære å gjenkjenne advarselsskilt, for eksempel mistenkelige e-postadresser eller uvanlige forespørsler.
3. Identitetsbekreftelse:
Disse angrepene starter vanligvis med en phishing-e-post som leder mottakeren til en falsk påloggingsside der trusselaktøren kan få legitimasjon. Derfor er det viktig å bekrefte identiteten til avsendere av e-post, spesielt i økonomiske transaksjoner eller forespørsler om sensitiv informasjon. Bruk av MFA kan også redusere risikoen for at en nettkriminell bruker stjålet legitimasjon for å få tilgang til en e-postkonto og utføre en BEC-svindel.
4. Sterk sikkerhetspolitikk:
Organisasjoner bør implementere klare retningslinjer og prosedyrer for validering og autorisering av økonomiske transaksjoner eller tilgang til konfidensiell informasjon. Dette inkluderer etablering av myndighetsgrenser, godkjenningsprosesser og verifisering av endringer i betalingsinformasjon.
5. Sjekk nettadresser og vedlegg:
Før du klikker på lenker eller åpner vedlegg i e-post, bør brukerne bekrefte ektheten og sikkerheten. Dette innebærer å verifisere nettadresser, bruke sikkerhetsverktøy for å skanne vedlegg for skadelig programvare og unngå å laste ned filer fra ikke-klarerte kilder.
6. Hold systemer og programvare oppdatert:
Utnyttelse av kjente programvaresårbarheter er en av de første tilgangsvektorene for nettkriminelle. For å beskytte mot BEC-angrep er det viktig å holde systemene oppdatert, da det bidrar til å sikre at viktige sikkerhetsoppdateringer er brukt. I mars 2021 måtte Microsoft gi ut nødoppdateringer for et sett med fire sårbarheter i ProxyLogon-teknologi, etter at kriminelle grupper aktivt utnyttet disse feilene i tusenvis av organisasjoner. Bruk av dette tiltaket kan redusere risikoen for å bli offer for et BEC-angrep betydelig og beskytte integriteten og konfidensialiteten til organisasjonens data.
7. Overvåking og deteksjon på avvik:
Sikkerhetsteam bør implementere overvåkings- og avviksdeteksjonsløsninger som kan identifisere uvanlige mønstre eller mistenkelig oppførsel i e-post. Dette kan omfatte gjennomgang av aktivitetslogger, oppdage endringer i kommunikasjonsmønstre og bruk av kunstig intelligensverktøy for å identifisere BEC-angrep.
8. Unngå hull i synligheten:
Bruken av ulike produkter skaper hull i synlighet og dermed i sikkerhet. Det er viktig å ha sikkerhetsløsninger som fungerer på en integrert måte for å oppnå full synlighet og dermed forhindre BEC-angrep. Å ta i bruk en XDR-tilnærming som WatchGuard ThreatSync løser utfordringen med begrenset trusselsynlighet ved å korrelere telemetri fra flere kilder for å gi bedre kontekst om et angrep. Dette gir sikkerhetsteam en fordel mot avanserte trusler som BEC-angrep ved å eliminere synlighetsgap og redusere deteksjons- og responstid, noe som gir større nøyaktighet. Kompleksiteten som er involvert i å beskytte organisasjoner mot BEC-angrep, bør ikke undervurderes. Angrep av denne typen vil sannsynligvis fortsette å øke på grunn av den store fortjenesten de genererer for ondsinnede aktører. Så å ta de nødvendige skritt for å forhindre at e-post blir kompromittert, er det beste alternativet selskaper kan gjøre for å unngå de høye kostnadene ved et datainnbrudd eller omdømmetapene som følger med det.
Hvis du vil vite mer om MFA og beskyttelsen som tilbys av en omfattende lagdelt sikkerhetsstrategi, kan du gå til følgende koblinger:
Les mer https://absec.no/10-tips-om-cybersikkerhet-for-forretningsreiser-og-eksterne-ansatte/ https://absec.no/edr-evolusjonen/ https://absec.no/stopper-ondsinnet-c2-server/ https://absec.no/7-tips-til-hvordan-du-kan-oke-sikkerheten-pa-nettsiden-din/ https://absec.no/hvorfor-er-m365-beskyttelse-og-e-postsikkerhet-viktig/
Kunnskapsarbeidere og bedrifter drar nytte av hybride arbeidsmiljøer.
Etter to år med fjernarbeid, må bedrifter tilby arbeidsplassfleksibilitet for å konkurrere om topptalenter.
66 % av selskapene som er undersøkt av PwC vil tilby større arbeidsfleksibilitet når ansatte kommer tilbake til kontoret.
Ledere på nettsikkerhet sliter med å sikre arbeidere utenfor selskapets omkrets.
Hybridarbeid krever enhetlig cybersikkerhet.
Hybride- og fjernarbeid har økt risikoen for å lide et malware-angrep med 3.5 ganger.
Hovedårsakene til å ende opp infisert av cybertrusler.
Fraværet av en enhetlig cybersikkerhetsstrategi (37%)
Teknologiske sårbarheter (22%)
Mangel på kunnskap på dette feltet (16%)
Dårlig risikokontrollstrategi (12%)
Sikkerhetsstatus hybrid
I rapporten “Unified Security for a Reconnecting World” takler vi sikkerhetsutfordringene fra ekstern tilgang til bedriftsnettverk. Bedrifter står overfor økt eksponering fra stjålet legitimasjon som nettkriminelle kan bruke for å få tilgang til systemer og selge på det mørke nettet. De kan være mer utsatt for phishing-svindel som gjør det mulig for hackere å få full kontroll over nettverket etter å ha lurt en ansatt til å klikke på en lenke eller avsløre personlig informasjon. I tillegg er programvare som ikke er oppdatert på en ansatts datamaskin eller enhet, lettere utnyttet fra Internett-tilkoblinger hjemme og kan føre til brudd.
Den gode nyheten, praksis som å inkludere flerfaktorautentisering (MFA), kan hjelpe organisasjoner med å implementere hybridarbeid på en sikker måte. MFA er det første trinnet i å erstatte implisitt tillit med evaluert og eksplisitt adaptiv tillit – et imperativ for hybride arbeidsmiljøer. Å opprettholde en sterk og motstandsdyktig sikkerhetsstruktur i dette nye miljøet betyr også å identifisere bedriftsapplikasjoner og validere gruppen brukere som skal ha tilgang til – e-post, skyapplikasjoner, VPN-er, etc. Disse funnene støttes av Pulse-undersøkelsesdata, da de undersøkte teknologilederne sier at de vil bruke MFA (35%), nulltillitsarkitektur (31%) og VPN (23%) som de beste verktøyene for å møte utfordringene i hybridmiljøer.
Implementering Sikkerhet
Implementering av disse sikkerhetstilnærmingene for hybridarbeid risikerer å introdusere for mye kompleksitet for et smidig IT-sikkerhetsteam å ta på seg. I motsetning til dette muliggjør WatchGuards enhetlige sikkerhetsplattform effektive, robuste sikkerhetstjenester, inkludert MFA og nulltillitstjenester som er nødvendige for hybride arbeidsplasser, med plattformverktøyene for økt skala og hastighet. Driftseffektiviteten som følger av en zero-trust-modell levert med enhetlig sikkerhet, gjør det mulig for bedrifter å oppfylle løftet om hybridkontoret samtidig som de håndterer cybersikkerhetsrisikoer.
Absec tilbyr gratis sikkerhetsjekk av bedriftens RISIKO og Sårbarheter. Ikke gå glipp av denne enestående muligheten å utføre risikoreduserende tiltak, jmf GDPR og rammeverks som ISO 27001.
I et vannhullangrep må trusselaktører vanligvis følge en rekke trinn. Først må de undersøke målet og sørge for at de vet hvilken type nettsted det potensielle offeret besøker. Deretter prøver de å infisere den med ondsinnet kode slik at når offeret besøker den. Så utnytter nettstedet en sårbarhet i nettleseren eller overbeviser dem om å laste ned en fil som kompromitterer brukerenheten.
Vannhullangrep: Hva er det?
Denne typen angrep er designet for å være målrettet mot ansatte i en bestemt bransje eller brukergruppe og som bruker regelmessig de nettstedene som de besøker. Dette for å lokke dem inn i en felle som gir tilgang til selskapets bedriftsnettverk. Datatyveri, økonomisk tap og omdømmeskade er ofte de viktigste konsekvensene av vannhullangrep.
Selv om disse truslene ligner på forsyningskjedeangrep på nært hold, er de ikke helt like. I begge tilfeller kompromitterer hackere en tredjepartstjeneste for å infisere andre systemer. Forsyningskjedeangrep kompromitterer imidlertid vanligvis et produkt som er kjøpt, eller en tjeneste som brukes av målet, mens et vannhullangrep infiserer nøytrale nettsteder. I motsetning til dette distribuerer et forsyningskjedeangrep skadelig programvare gjennom det “svakeste” leddet i en organisasjons nettverk, for eksempel en leverandør, leverandør eller partner.
Tre nylige eksempler på vannhullangrep:
1. Nitrokod og falske Google Translate for skrivebordet
I slutten av juli 2022 ble det oppdaget en malware-kampanje for cryptocurrency mining som infiserte enheter i 11 land. Trusselaktøren var en programvareutvikler kalt Nitrokod som tilbyr gratisversjoner av populære programmer som ikke har en offisiell desktopversjon. Dens etterligning av oversettelsesverktøyet, opprettet ved hjelp av de offisielle Google Translate-nettsidene og et Chromium-basert rammeverk. Disse var det mest populære tilbudet og var tilgjengelig på freeware-nettsteder, samt høyt rangert i søkeresultatene for “Google Translate desktop download”.
Dessverre ble applikasjonene trojanisert, og når programvaren ble installert på enheten, var infeksjonsprosessen sovende i flere uker for å sikre at den forble ubemerket. Etter det sovende intervallet så sparket skadelig programvare inn og ofrene ville motta en oppdatert fil som ville laste en serie på fire droppere på enheten i løpet av noen dager. Den siste dropperen ville distribuere den Monero-sentriske XMRig-kryptomineren og utføre den. Mens dette skjedde, fortsatte Google Translate å fungere skikkelig, og ingen sikkerhetsanalyser hevet røde flagg. Denne taktikken har gjort det mulig for kampanjen å operere vellykket under radaren i årevis.
2. SolarMarker skadelig programvare
I september 2022 kompromitterte SolarMarker-gruppen et sårbart nettsted drevet av WordPress for å lokke ofrene til å laste ned falske Chrome-nettleseroppdateringer. Denne kampanjen var rettet mot en global skatterådgivningsorganisasjon med tilstedeværelse i USA, Canada, Storbritannia og Europa. I dette tilfellet var offeret en bedriftsansatt som søkte etter medisinsk utstyr fra en bestemt navngitt produsent på Google. Når den ansatte fikk tilgang til det kompromitterte nettstedet, ble han bedt om å laste ned en oppdatering til Chrome-nettleseren. Den ansatte lastet deretter ned og henrettet SolarMarker, som var forkledd som en falsk oppdatering. Den falske oppdateringen var basert på nettleseren offeret brukte da han fikk tilgang til det infiserte nettstedet. Så hvis brukeren hadde brukt en annen nettleser, ville den ha etterlignet Firefox eller Edge.
3. SocGholish malware på amerikanske nyhetsnettsteder
I november 2022 kompromitterte en kriminell gruppe et innholdsleverandørselskap som tilbyr videoinnhold og reklame til store amerikanske medier for å distribuere skadelig programvare på nettstedene sine. I løpet av denne kampanjen ble 250 nasjonale og regionale avisnettportaler i landet målrettet. Skadelig programvare, kalt SocGholish og først sett i 2018. Disse ble injisert i en godartet JavaScript-fil som lastet på medienettstedene og overbeviste besøkende om å laste ned en falsk nettleseroppdatering. Som i forrige tilfelle tok skadelig programvare form av nettleseren som ble brukt av brukeren. Når angriperne fikk første tilgang til nettverkene, kan dette brukes som en vei for å distribuere ransomware, som er en taktikk vi har sett tidligere.
Endepunktbeskyttelse: kritisk forsvar mot et vannhullangrep
Vannhullangrep har en høy suksessrate, da de kompromitterer legitime og pålitelige nettsteder for brukere, slik at selv de mest informerte og forsiktige ansatte kan falle i fellen. Dette er grunnen til at en endepunktbeskyttelsesløsning er nødvendig, som gir kontinuerlig overvåking og forhindrer utførelse av ukjente prosesser.. Imidlertid, med tanke på at når de står overfor et slikt angrep, kan applikasjoner passere som legitime. Teknologien som brukes til å forsvare seg mot den, må beskytte brukere mot avanserte trusler, avanserte vedvarende trusler (ATP), zero day malware og ransomware, samt andre sofistikerte trusler. Bruk av AI og automatisering er gunstig når det gjelder å utføre forebygging, deteksjon, inneslutning og responshandlinger. I tillegg er atferdsanalyse ideell for å oppdage om det er ondsinnede aktører i nettverket. Summen av disse funksjonene bidrar til å oppnå omfattende sikkerhet, som er i stand til å avverge et vannhullangrep.
Det er viktig å ta i bruk en nulltillits-tilnærming, ideelt sett med administrerte tjenester som vi finner i Feature Brief – WatchGuard Zero-Trust Application Service som er i stand til å klassifisere 100% av applikasjonene som skadelig programvare eller pålitelige applikasjoner, og overvåke aktiviteten til alle typer applikasjoner på endepunktet. En nulltillits-tilnærming kan forhindre sofistikerte trusselutførelser, for eksempel forsyningskjedeangrep og vannhullangrep. Ved å observere uregelmessig oppførsel av tilsynelatende legitim programvare og omklassifisere applikasjoner så snart de utfører aktiviteter som vanligvis brukes av trusselaktører. Det er ingen tvil om at nettkriminelle bruker taktikker som blir stadig mer komplekse og vanskelige å oppdage. Med riktig beskyttelse, ved å ta i bruk en AI- og nulltillitstilnærming, er det mulig å håndtere dem og holde bedriftsnettverk sikre.
Interessert i å lære mer om hvordan WatchGuard Endpoint Security hjelper deg med å unngå angrep som dette? Besøk vår hjemmeside og finn all informasjon.
Adopsjon av multi-faktor-autentisering blomstrer. Regulatorisk press fra ulike globale initiativer, kombinert med at selskaper gjør det til en forutsetning å bruke tjenestene deres og økningen i implementeringen av zero-trust-modellen, har økt utgiftene til denne løsningen. Vi ser på DNA fra mobilenheter og hvordan øke sikkerheten for bruk av multi-faktor-autentisering.
MFA-markedet anslås å være verdt 12,9 milliarder dollar og forventes å nå 26,7 milliarder dollar innen 2027, med en årlig vekstrate på 15,6% fra 2022 til 2027. Videre har 92% av selskapene i 2022 brukt denne teknologien til minst noen forretningsapplikasjoner.
Selv om dette verktøyet legger til et ekstra lag med beskyttelse for legitimasjon, er det kanskje ikke nok, ettersom nettkriminelle kan omgå det ved å bruke phishing- og sosialtekniske taktikker for å distrahere brukere. Samtidig bruker de teknikker for å hacke MFA-forsvar.
Hva er SIM-bytteangrep, og hvordan fungerer de?
Engangskoder sendt via SMS er allestedsnærværende i eldre MFA-teknologier. I et bytteangrep overtar en ondsinnet aktør den faktiske personens telefonnummer ved å be om at en mobil telekommunikasjonsleverandør kobler dette nummeret til et nytt SIM-kort i deres kontroll.
Først må den ondsinnede aktøren overbevise teleleverandøren om å utføre dette SIM-byttet gjennom sosialtekniske teknikker ved å etterligne den faktiske kunden og hevde at det originale SIM-kortet er skadet eller tapt. Deretter, hvis angrepet er vellykket, vil offerets telefon miste forbindelsen til nettverket, og de vil ikke kunne motta eller ringe.
Når det nye SIM-kortet er installert, kan hackere bruke det til å få kodene som gjør dem i stand til å omgå MFA, tilbakestille kontolegitimasjon og få uautorisert tilgang. For å etterligne offeret sitt, vil hackeren starte med å samle den nødvendige informasjonen. Det er forskjellige ruter de kan ta for å skaffe disse dataene, inkludert sosial manipulering, phishing, skadelig programvare, utnyttelse av informasjon fra datainnbrudd eller forskning på sosiale medier.
Bevæpnet med nødvendig informasjon kan nettkriminelle overbevise mobiloperatøren om å overføre mobilnummeret til et nytt SIM-kort eller utføre prosessen personlig online. I februar i år utstedte FBI en offentlig advarselom økningen i denne typen trusler. Den avslørte at de fra januar 2018 til desember 2020 hadde mottatt 320 rapporter relatert til SIM-byttehendelser, noe som genererte tap på omtrent 12 millioner dollar. Imidlertid mottok de bare i 2021 1,611 SIM-bytteklager med tap på over 68 millioner dollar. Disse tallene viser tydelig behovet for tiltak for å forhindre SIM-bytteangrep.
Mobilt DNA: funksjonen som sikrer forbedret beskyttelse
I dag kan utviklingen av taktikken som brukes av nettkriminelle lure selv de mest cybersikkerhets-bevisste blant oss. En Verizon-rapport sier at menneskelige feil står for 82% av datainnbruddene. Så det er kanskje ikke nok å implementere en tradisjonell MFA-løsning.
WatchGuards AuthPoint-løsning styrkes med en funksjon som garanterer at bare brukeren kan få tilgang til sine online kontoer og eiendeler fra mobilenheten. Den bruker sitt “mobile DNA” for å sikre at personen som ønsker å logge inn eier telefonen. Denne funksjonen forhindrer hackere i å få tilgang ved å bruke SIM-bytte fordi løsningen genererer et unikt DNA for den enheten, slik at ethvert påloggingsforsøk fra en annen mobil vil bli blokkert umiddelbart. I tillegg er vårt DNA godt posisjonert mot utnyttelse av sårbarheter i Signaling System No. 7 (SS7) og SIM-bytte i tråd med den siste CISAS-retningslinjen for multi-faktor-autentisering for å takle phishing. Når en økt er startet, gjenskaper AuthPoint-applikasjonen mobil-DNA og inkluderer det i engangspassord-beregningen (OTP). Hvis noen av de unike egenskapene til mobilenheten skulle endres (for eksempel forsøk på å sette den opp på en annen enhet), ville en ugyldig OTP bli generert, og tilgang ville bli nektet. I tillegg til å forhindre pålogging, er det mulig å vite om en angriper forsøkte å få tilgang til kontoen, ettersom tilgangsgodkjenning og fornektelsesinformasjon logges i kontrollpanelet slik at den når som helst kan verifiseres.
Siden mobil-DNA-et er unikt for hver enhet, kan de migrere tokenet fra en mobil til en annen mens de fortsatt har begge mobile enheter eller be IT-teamet om å generere en ny registrering. Det nye tokenet deaktiverer automatisk det gamle, så det er ingen risiko for at det blir brukt i tilfelle tyveri. På samme måte, hvis ansatte forlater selskapet, kan tokenene deres raskt slettes fra skyen for å forhindre at de autentiserer på et senere tidspunkt. På samme måte er det mulig å erstatte brukere med andre ved personalomsetning, slik at bedrifter kan stole på et bestemt antall lisenser uten å kjøpe nye.
Kort sagt, bruk av mobil-DNA for multi-faktor-autentisering er et sikrere alternativ for å beskytte kontoer. Hvis nettkriminelles avanserte taktikk kan forvirre ofrene deres, vil de ikke kunne villede applikasjonen, som alltid vil gjenkjenne enhetens unike DNA.
Siste kommentarer