BEC

BEC (ang. business email compromise) to oszustwo finansowe, w którym przestępca przejmuje firmowe konto e-mail albo się pod nie podszywa, żeby skłonić pracownika do przelewu lub do zmiany numeru rachunku kontrahenta. FBI opisuje BEC jako wyrafinowane oszustwo wymierzone w firmy i osoby, które wykonują zwykłe, uprawnione zlecenia przelewów ^[1]. CERT Polska nie używa tego skrótu i pisze o oszustwie „na prezesa”: pracownik dostaje od rzekomego przełożonego pilne zadanie, często związane z przelaniem dużej kwoty ^[2]. W biuletynie OUCH! ten sam schemat nosi nazwę „CEO Fraud” ^[3].

Jak działa

BEC to przede wszystkim socjotechnika, a nie atak techniczny. Wiadomość może nie zawierać ani załącznika ze złośliwym kodem, ani podejrzanego linku, co utrudnia jej automatyczne odfiltrowanie. Przestępca nie musi instalować złośliwego oprogramowania. Wystarczy wiadomość, która wygląda na zwykłą korespondencję biznesową i przychodzi w dobrym momencie: przy fakturze, zamknięciu transakcji albo zmianie dostawcy.

FBI wymienia typowy przebieg: przestępca przejmuje prawdziwe konto pocztowe firmy przez socjotechnikę lub włamanie, a pieniądze trafiają do instytucji finansowych, operatorów płatności albo na giełdy kryptowalut ^[1]. Schemat poniżej pokazuje wariant z podmianą rachunku kontrahenta.

RYS. 1Podmiana rachunku w korespondencji z dostawcą

Sekurak opisał taki dwuetapowy atak: najpierw phishing dał dostęp do poczty ofiary i pozwolił zablokować prawdziwe wiadomości, potem przyszła wiadomość podszywająca się pod fakturę firmy budowlanej ^[5]. Środki często trafiają na konto słupa, który pośredniczy w dalszym transferze.

Odmiany

BEC przybiera kilka form. Różnią się tym, pod kogo podszywa się przestępca i skąd wysyła wiadomość.

Wiadomość może pochodzić z prawdziwego, przejętego konta, co opisuje hasło przejęcie konta. Może też pochodzić z obcego serwera, gdy przestępca stosuje spoofing pola nadawcy, rejestruje domenę podobną do oryginału, czyli typosquatting, albo używa znaków z innych alfabetów, czyli prowadzi atak homograficzny. Wariant skierowany do kadry kierowniczej jest bliski technice whaling, a dopracowany pod jedną osobę — technice spear phishing.

W WordPressie

Strona WordPress rzadko jest bezpośrednim celem BEC, ale bywa jego ogniwem. Domena witryny jest zwykle także domeną firmowej poczty. Brak poprawnych rekordów SPF, DKIM i DMARC ułatwia wysyłanie wiadomości z tą domeną w polu nadawcy. DMARC pozwala właścicielowi domeny opublikować w DNS politykę dla serwerów odbiorców i otrzymywać zbiorcze raporty o wynikach uwierzytelniania ^[6].

W sklepie WooCommerce numer rachunku do przelewu tradycyjnego wpisuje się w ustawieniach metody „Direct Bank Transfer” ^[7]. Dane te pojawiają się na stronie potwierdzenia zamówienia i w mailu z zamówieniem wysyłanym do klienta ^[7]. Osoba, która przejmie konto administratora sklepu, może więc podmienić rachunek bez wysyłania ani jednej fałszywej wiadomości: zrobi to za nią sam sklep. Dlatego zmiany ustawień płatności warto obejmować dziennikiem aktywności, a konta z uprawnieniami do nich chronić uwierzytelnianiem wieloskładnikowym.

Zagrożenia i skutki

Straty z BEC są jednymi z najwyższych wśród przestępstw internetowych. FBI podało, że od października 2013 do grudnia 2023 roku zgłoszono na świecie 305 033 incydenty BEC o łącznej narażonej kwocie blisko 55,5 mld dolarów ^[1]. Sekurak, powołując się na dane za 2019 rok, pisał o około 1,7 mld dolarów strat z BEC, największych wśród cyberprzestępstw ^[5].

Odzyskanie pieniędzy jest trudne, bo przelew wykonuje uprawniony pracownik, a środki szybko przechodzą przez kolejne konta. FBI wskazuje banki w Wielkiej Brytanii i Hongkongu jako częste punkty pośrednie ^[1]. Ofiara często dowiaduje się o oszustwie dopiero po kilku tygodniach, gdy prawdziwy kontrahent upomina się o zapłatę ^[5].

Jak się bronić

Najskuteczniejsza jest procedura, a nie technologia. FBI zaleca potwierdzanie próśb o przelew drugim kanałem lub uwierzytelnianiem dwuskładnikowym, unikalne hasła do każdej usługi, sprawdzanie adresu nadawcy i adresów URL oraz regularne przeglądanie rachunków ^[1]. W praktyce oznacza to:

• zmianę numeru rachunku kontrahenta potwierdzać telefonicznie, na numer znany z wcześniejszej współpracy, a nie podany w wiadomości;
• wymagać zatwierdzenia dużych przelewów przez drugą osobę;
• chronić skrzynki pocztowe uwierzytelnianiem wieloskładnikowym;
• publikować dla domeny politykę DMARC; wartość p=reject oznacza prośbę o odrzucanie poczty, która nie przejdzie kontroli ^[6];
• prowadzić szkolenia pracowników działów finansowych.

Po wykryciu oszustwa FBI zaleca natychmiastowy kontakt z bankiem ^[1]. W Polsce incydent można też zgłosić do CERT Polska, a przestępstwo organom ścigania; zob. oszustwo.

Historia i przykłady

W czerwcu 2019 roku Niebezpiecznik opisał stratę PLL LOT: przestępcy, którzy mieli dostęp do skrzynki uczestniczącej w transakcji, zmienili dane rachunku w korespondencji; z 2,6 mln zł udało się odzyskać około 700 tys. zł ^[4]. Ten sam artykuł wspomina Polską Grupę Zbrojeniową, która w podobny sposób przelała 4 mln zł na niewłaściwe konto ^[4]. W grudniu 2020 roku Sekurak opisał amerykański bank żywności Philabundance, który stracił 923 533 dolarów po fałszywej fakturze od rzekomego wykonawcy budowlanego ^[5].