Minacce BEC basate su fatture

18 novembre 2024

I ricercatori di minacce di Mimecast hanno individuato un aumento degli attacchi di compromissione delle email aziendali che prendono di mira specificamente il settore immobiliare a livello globale. Gli attori delle minacce si spacciano per ZipRecruiter, TeamViewer, Zoom e altri prodotti per ingannare le organizzazioni a pagare fatture per servizi, con il rischio di perdite finanziarie. Nella maggior parte dei casi, le email provengono da un account compromesso, ma con un dominio recentemente osservato nell'indirizzo di risposta.

Trucchi psicologici utilizzati

• Lungo thread con l'approvazione di un superiore (sembra che stia andando a un indirizzo email legittimo) che può ingannare il dipendente a effettuare il pagamento senza ricontrollare
• È stato aggiunto un senso di urgenza poiché il thread è attivo da un po' di tempo e la fattura è stata sollecitata
• È allegata una fattura ben formulata

Tecniche comuni

• L'invio di email da account compromessi garantisce che i controlli di autenticazione come SPF e DKIM vengano superati.
• Nuovi indirizzi di risposta di dominio vengono solitamente utilizzati per raggruppare e gestire le risposte alle campagne.
• Le intestazioni delle email contenenti i campi 'Da' e 'Rispondi a' possono includere nomi visualizzati che mascherano indirizzi di mittenti sospetti, poiché i destinatari in genere vedono solo il nome visualizzato quando controllano le email su dispositivi mobili.

Esempio di TeamViewer BEC

La visibilità del linguaggio delle minacce BEC è disponibile tramite Mimecast Advanced BEC Protection

Nei due esempi più comuni, i team di contabilità sono presi di mira con una richiesta di fattura da un dominio simile. L'importo della fattura è menzionato nel corpo dell'email e la fattura allegata include i dettagli del conto bancario dell'aggressore. Le stesse informazioni sul conto bancario sono presenti in entrambe le fatture. La fattura sembra essere basata su una fattura legittima di TeamViewer che può essere facilmente trovata tramite Google.

Fattura TeamViewer

Nel secondo esempio, l'attore della minaccia finge di essere una società di reclutamento legittima, inviando l'email da un dominio legittimo compromesso (non correlato a ZipRecruiter).

Esempio BEC ZipRecruiter

La visibilità del linguaggio delle minacce BEC è disponibile tramite Mimecast Advanced BEC Protection

Fattura ZipRecruiter

Protezione Mimecast

Abbiamo identificato diversi elementi nelle campagne che sono stati aggiunti alle nostre capacità di rilevamento.

Vai sulla pagina Advanced BEC Protection per scoprire di più su come le nostre capacità avanzate di intelligenza artificiale e di elaborazione del linguaggio naturale aiutano a rilevare minacce in evoluzione.

Obiettivi:

Globale, prevalentemente nel settore immobiliare e legale

Indicatori di compromissione

Domini del mittente:

teamviewing-dashboard[.]com
collections-zoominfo[.]com

Domini di risposta:

reply-ms-suite[.]online
accounting-zip-recruiting[.]com
usazoominfo[.]com
ar-pitchbook[.]com
zoominfo[.]app

Oggetti:

unpaid-bill-inv1912701
request-for-correction-of-double-charge
payment-advice-notification
re-invoice-12862843-for-ziprecruiter-subscription

Raccomandazioni

• Conduci sessioni di sensibilizzazione per i dipendenti sulle tattiche BEC e su come identificare i tentativi di phishing.
• Informa gli utenti finali del costante utilizzo di strumenti legittimi in campagne dannose.
• Implementa protocolli di verifica per qualsiasi email inaspettata o sospetta presumibilmente proveniente da ZipRecruiter e dagli altri marchi in questa notifica, in particolare le email che richiedono informazioni sensibili o transazioni finanziarie.
• Segnala sempre qualsiasi email di phishing o truffa BEC a Mimecast o al tuo provider di sicurezza email.

Segnalazione di truffe

TeamViewer Germany GmbH è una società di sviluppo software legittima. Purtroppo, come talvolta accade per le aziende di lunga data e di successo, il software o il marchio vengono occasionalmente presi di mira o utilizzati in modo improprio da malintenzionati. TeamViewer prende molto sul serio la sicurezza dei suoi clienti e ha implementato misure robuste per proteggere contro truffe e attività fraudolente. Se hai subito un caso di uso dannoso di TeamViewer, o lo sospetti, contatta il team per la privacy di TeamViewer tramite il modulo "Segnala una truffa" in questa pagina: https://www.teamviewer.com/en/report-a-scam/

Mimecast sta collaborando con TeamViewer per condividere informazioni e indicatori tecnici relativi alla campagna di compromissione delle email aziendali che sta sfruttando attivamente l'identità del loro marchio.