read receipts
Az antivírusod sosem volt esélyes egy üres e-mail ellen
Az a csalás, amely tavaly $2,9 milliárd dollárt lopott el amerikai vállalkozásoktól, egyetlen vírust sem tartalmazott. Csak egy tárgysort és egy kérést.
Egy középméretű vállalat munkaügyese kap egy e-mailt a vezérigazgatótól. Nincs csatolt fájl. Nincs link. Csak öt sor, amely arra kéri, hogy intézzen sürgős átutalást egy új szállítónak a délutáni határidő előtt, és kérem, tartsa azt titokban, egy megvásárlást zárunk le. Utalt $180 000-t. A vezérigazgató soha nem küldte el. És minden biztonsági szoftver, amelyre a vállalat fizetett, pontosan semmit sem látott, mert semmi sem volt látható.
Ez a vállalati e-mail kompromittálás, és ez messze az e-mail-mappádban a legdrágább bűncselekmény. Az FBI Internet Crime Complaint Center csoportja 2023-ban egyedül $2,9 milliárd jelentett BEC-veszteséget. A ransomware, az a dolog, amelyre mindenki pánikba esik, az a dolog koponyagráfikával és visszaszámlálási időzítővel? Ugyanebben az évben nagyjából $59,6 millió jelentett veszteség. A BEC szinte ötven szeresére még többet ér. Az egyik híreket kap. A másik az te pénzed.
Az ok, amiért az antivírus itt kudarccal jár, szinte szégyenletes. A kártékony szoftver szkennerek kóddal működnek — csatolt fájl, futtatható fájl, egy táblázatba rejtett makró. Összehasonlítják az ismert rossz aláírásokkal, vagy követik annak viselkedését egy tesztkörnyezetben. A BEC e-mail egy egyszerű szöveges jegyzetet ad át nekik, amely a főnök hangjában íródott. Nincs hasznos terhelés, amely aktiválódna. A fegyver egy mondat.
Ez azt jelenti, hogy a védelem nem lehet szkenner. Szokásnak kell lennie, és a szokás az fejlécekben él.
Íme az a megoldás, amit a legtöbb ember soha nem keres. A Feladó mező és a Válasz-hoz: mező két különböző dolog, és a csalók kihasználják ezt az eltérést. A Feladó sor egy nevet és címet mutat, amelyre megbízol — ceo@yourcompany.com, helyesen leírva. De abban a pillanatban, amikor rákattintasz a válaszra, az üzenet csendes módon a ceo.finance@gmail-secure-mail.com vagy valamilyen eldobható domain felé irányul, amelyet az támadó valójában irányít. A válaszod, az átutalás megerősítésével, egyenesen a bűnözőhöz kerül. A megjelenítendő név hazudott. A Válasz-hoz: mező mondta az igazat.
Tehát gyakorold azt, hogy kibontod a fejlécet, mielőtt pénzügyi kérésre cselekednél. A Gmailben kattints a szállító név alatti kis nyílra. Az Outlookban nyisd meg az üzenet részleteit. Ha a Válasz-hoz: nem egyezik meg a Feladóval, hagyd abba. Ha a domain egy karakterben eltér — rn az m helyett, a .co, ahol .com-ot vártál — hagyd abba.
A kifinomultabb verzió még nem is fáradozik a saját domainod meghamisításával. Egy valódi szállítót utánoz meg, akinek már fizetsz. A támadó hetekig egy feltört szállítói számlán ül, elolvassa az actual számlázási szálat, majd e-mailt küld a tökéletes pillanatban: „Frissítettük banki adatainkat, kérjük, az új számlát használja." Ez a változat brutális, mivel pontosan azért, mert az e-mail hiteles — a szállító valódi, feltört postafiókjából származik. Az SPF, DKIM és DMARC mind tisztán teljesül, mivel az üzenet valóban onnan származik, ahol azt állítja. A hitelesítés megerősíti a feladó kilétét. Nem tudja megerősíteni a feladó őszinteségét.
Ez a kellemetlen igazság az összes többi alatt: az egész számos bizalmon és sietségen fut, két olyan dolog, amelyet egyetlen aláírás-adatbázis sem tud mérni. Egy vezérigazgató, aki „soha nem használ ilyen e-mailt", hirtelen igen. Egy szállító, aki három éve ugyanígy számlázott, hirtelen módosít számlát. A kérés mindig olyan ok mellett érkezik, amelyet délután nem lehet ellenőrizni.
Ellenőrizd azt más csatornán. Hívd fel azt a számot, amelyet már ismersz — nem azt, amely az e-mailben van. Egy tízmásodperces telefonhívás megdöntött már hat számjegyű átutalásokat megbízhatóbban, mint bármelyik olyan termék, amelynek a nevében van tűzfal. A csalók arra fogadnak, hogy nem veszel fel telefont. Próbáld meg őket tévedésre bírni.