Что отличает BEC от обычного нежелательного письма
Запрос выглядит связанным с рабочими отношениями: поставщик меняет счет, руководитель просит срочный перевод, подрядчик уточняет оплату. Смысл атаки состоит в получении конкретного действия от сотрудника, который способен повлиять на деньги или данные.
FBI описывает BEC как обращение от якобы знакомого источника с правдоподобной деловой просьбой. Для владельца бизнеса главный вопрос - подтверждено ли само поручение и кто вправе его согласовать. Отсутствие вредоносного вложения не исключает мошенничество.
Поэтому проверка не заканчивается антивирусом или просмотром дизайна письма. Нужен рабочий процесс для смены реквизитов и чувствительных поручений. Он должен действовать и тогда, когда сообщение выглядит привычно и не вызывает технического предупреждения.
Поддельный отправитель и настоящий ящик
Подмена имени, похожий домен, изменение адреса ответа и доступ к настоящему ящику дают разные технические следы. Не выбирайте одну причину по внешнему виду запроса. Сохраните исходное сообщение и привлеките уполномоченного владельца почтовой среды.
Успешная аутентификация домена не подтверждает авторство делового решения. Если злоумышленник использует реальную учетную запись, внешний вид и цепочка переписки могут сохраняться. Независимая проверка операции нужна отдельно от проверки почтовой инфраструктуры.
При признаках компрометации администратора интересуют входы, активные сеансы, методы MFA, разрешения приложений и правила пересылки. Документация Microsoft рассматривает эти области отдельно. Конкретные действия зависят от среды и доступных прав, а не от общего названия BEC.
Карта запроса и доказательств
Используйте карту CyberFixCrew, чтобы не смешивать подозрение к платежу с техническим выводом о ящике. Каждый столбец отвечает на собственный вопрос. Это помогает назначить финансовому владельцу и администратору разные, но связанные действия.
Если вопрос пока не закрыт, держите изменение на паузе по внутренней процедуре. Не заменяйте отсутствие ответа догадкой руководитель наверняка согласен. Для недоступного согласующего нужен заранее определенный заместитель.
| Область | Нужное подтверждение | Чего недостаточно |
|---|---|---|
| Деловая просьба | Независимое подтверждение содержания | Знакомого имени и подписи |
| Личность | Контакт через доверенный путь | Ответа в той же цепочке |
| Полномочия | Согласующий по правилам компании | Уверенного тона сообщения |
| Реквизиты | Проверенное изменение в учете | Нового PDF или номера из письма |
| Учетная запись | Сведения уполномоченной проверки | Одной подозрительной инструкции |
| Платеж | Статус и действия банка/провайдера | Обещания технического подрядчика |
Как устроить проверку чувствительного поручения
Для смены реквизитов сначала определите доверенный контакт поставщика из ранее проверенных данных. Свяжитесь по независимому пути и уточните сам запрос. Затем используйте назначенного внутри компании согласующего: подтверждение личности не равно разрешению выпустить платеж.
Отдельно контролируйте изменение карточки поставщика и конкретную операцию. Человек, обновивший реквизиты, может не иметь полномочий оплачивать счет. Сохраните, кто подтвердил изменение, кто его согласовал и по какому основанию.
Если известный контакт недоступен, обратитесь к согласованному заместителю или сохраните паузу. Срочность и просьба обойти обычный порядок должны повышать внимание к процедуре. Исключение может принять только уполномоченный владелец процесса по определенным правилам.
Если запрос обнаружен после действия
Уточните, изменена ли карточка, создана ли операция и отправлены ли средства. Если деньги ушли или переданы банковские сведения, немедленно свяжитесь с банком либо платежным провайдером по официальному каналу. Не ждите завершения технического разбора почты.
Сохраните исходное поручение, время, историю согласования и сведения об операции в ограниченном доступе. Уполномоченные участники определят дальнейшие действия и применимый порядок сообщений. Не отправляйте полные реквизиты и клиентские архивы через открытую форму технического сайта.
Возможный взлом учетной записи разбирают параллельно с финансовым вопросом. Остановка подозрительного платежа не закрывает все выданные доступы, а смена пароля не устанавливает состояние денежного перевода.
Какие меры помогают предотвратить повторение
Свяжите техническую защиту почты с управлением доступами и процедурой поручений. Проверьте актуальность владельцев и альтернативных контактов, подготовьте понятный канал для сомнений сотрудника. Разбор выявленного случая должен завершаться конкретными действиями и проверкой их выполнения.
CyberFixCrew - израильская компания по защите сайтов и цифровой инфраструктуры для русскоязычных бизнесов по всему миру. Применяем израильские знания в области кибербезопасности к почте, доменам и доступам. Согласуем техническую область проверки и связь результата с рабочими процессами вашей компании.