E-mailbeveiliging

    FBI: "Scampages" verhogen inzet voor e-mailbeveiliging, merkbescherming

    FBI waarschuwt dat "as-a-service" merkimitatie en e-mail phishing-aanvallen de twee-factor authenticatie kunnen omzeilen en e-mailaccounts in gevaar kunnen brengen.

    by Mike Azzara
    getty-dark-room-with-laptop.jpg

    Hoofdpunten

    • De FBI kondigde vorige week aan dat zij cybercriminelen heeft ontdekt die merkgetrouwe consumenten viseren met phishing-zwendel via e-mail, waardoor hun zakelijke e-mailaccounts in gevaar kunnen worden gebracht.
    • Cybercriminelen doen zich voor als merken "vanwege het grote aantal mensen dat gebruik maakt van merkdiensten en het niveau van vertrouwen en legitimiteit dat met deze bedrijven wordt geassocieerd", aldus de FBI.
    • Erger nog, cybercriminelen distribueren dergelijke hackingtools als een "soort product-as-a-service" - inclusief voortdurende technische ondersteuning - en maken daarbij gebruik van kleinere criminelen zonder programmeervaardigheden.

    Samen met het U.S. Cybersecurity and Infrastructure Security Agency heeft de FBI vorige week een public service announcement (PSA) uitgebracht om bedrijven en consumenten te waarschuwen voor een stortvloed van nepwebsites (scampages) en daarmee verband houdende phishing-e-mails die merkgetrouwe kopers ertoe verleiden persoonlijke informatie prijs te geven door zich voor te doen als hun favoriete merken.

    Volgens de PSA gaat het om scampagecampagnes met meerdere lagen die authenticatie op basis van twee factoren (2FA) kunnen omzeilen, vooral als de tweede factor het verzenden van bevestigingscodes naar een e-mailadres inhoudt.[1] Wanneer de scammers ontdekken dat een persoon zijn e-mailadres gebruikt als gebruikers-ID voor een merkaccount, kunnen ze hem omleiden naar een lookalike pagina van hetzelfde domein als hun e-mailadres in een poging om de login en het wachtwoord van de e-mailaccount van de gebruiker te stelen. Met die informatie kunnen merkimitators 2FA-meldingen onderscheppen, wat betekent dat ze wachtwoorden kunnen resetten en de accounts van de gebruiker kunnen overnemen op alle merkwebsites waar de persoon regelmatig aankopen doet of andere zaken doet.

    Zoals in het verleden is gebeurd met geavanceerde hackertechnologie, distribueren de criminelen achter deze groeiende stroom van scampages hun software als een soort "product-as-a-service" met "hun eigen doorlopende technische ondersteuning", aldus de FBI. Hierdoor neemt het volume van de aanvallen drastisch toe, omdat zelfs niet-technische criminelen in staat zijn scampagecampagnes op te zetten.

    Zowel de FBI als Mimecasts eigen onderzoek uit het verleden suggereren manieren waarop organisaties zich kunnen beschermen tegen impersonatieaanvallen, of hun eigen merk nu wordt geïmiteerd of aanvallers zich voordoen als een ander merk om de IT-infrastructuur van uw bedrijf te compromitteren.

    Hoe aanvallen op merkuitbuiting te vermijden

    Het rapport The State of Brand Protection 2021 (SOBP) van Mimecast concludeert dat er een combinatie van technologie en training van medewerkers nodig is om bescherming te bieden tegen zakelijke e-mailcompromittering en phishing-aanvallen waarbij gebruik wordt gemaakt van merkimitatietactieken. Het SOBP-onderzoek beveelt aan dat organisaties:

    • Train: Uit een onderzoek waarbij Mimecast-klanten met en zonder bewustzijnstraining werden vergeleken, bleek dat werknemers in organisaties zonder training gemiddeld 13,6 keer vaker op schadelijke links klikten dan werknemers met training.
    • Samenwerken: Meer bepaald moeten beveiligingsprofessionals nauw samenwerken met de marketeers van de organisatie, die gewoonlijk belast zijn met de bescherming van het merk. Een van de geïnterviewden in het SOBP-rapport zei het volgende: "Beveiligingsteams zouden naast elkaar moeten rijden en frauduleuze websites neerhalen als ze opduiken, zodat ze de leads van marketeers niet in de weg zitten."
    • Monitor: Marketeers en C-suite executives zijn altijd verbaasd over de mate waarin hun merken worden uitgebuit door cybercriminelen - maar merken komen pas achter de omvang van het probleem als ze er daadwerkelijk op monitoren. Anders is de uitbuiting vrijwel onzichtbaar voor het gedupeerde merk. Door het probleem te meten, kan actie worden ondernomen.
    • Uitbesteden: Beschermingsdiensten van derden zijn goedkoper en effectiever dan het werk zelf doen, volgens onderzoek van Frost & Sullivan. De dienst Brand Exploit Protect van Mimecast is bijvoorbeeld uitsluitend gericht op het identificeren en neerhalen van kwaadaardige sites voor merkimitaties.
    • DMARC inzetten: Met de e-mailverificatiestandaard Domain-based Message Authentication, Reporting and Conformance (DMARC) kunnen organisaties e-mails identificeren die zich voordoen als hun merken en hun legitieme e-mails verifiëren, zodat ze niet in een spammap terechtkomen. Maar DMARC vereist monitoring, strategische analyse en planning.

    Aanbevelingen van de FBI inzake merkbescherming

    De PSA van de FBI van zijn kant "moedigt partners uit de particuliere sector aan waakzaam te blijven, intern beleid te evalueren en met hun consumenten te blijven communiceren over beveiligingsprotocollen voor accounts". Verder worden er specifieke aanbevelingen gedaan aan bedrijven om met hun werknemers en klanten te delen, waaronder:

    • Wees achterdochtig bij ongevraagde e-mail of contact via sociale media van iemand die u niet kent, vooral als ze u vragen een link of een bijgevoegd bestand te openen.
    • Klik niet op links in een e-mail of tekst - punt, zaak gesloten. Ga in plaats daarvan handmatig naar de website die u wilt bezoeken.
    • Controleer de spelling van webadressen, websites en e-mailadressen die er betrouwbaar uitzien maar een imitatie kunnen zijn van legitieme versies.
    • Gebruik sterke, unieke wachtwoorden, met verschillende wachtwoorden voor elke account.
    • Bewaar geen belangrijke documenten of informatie op uw e-mailaccount, zoals de privésleutels van digitale valuta, alles wat uw burgerservicenummer bevat of fotokopieën van een rijbewijs.
    • Maak, indien mogelijk, unieke gebruikersnamen voor online accounts - gebruik niet uw primaire e-mailadres.
    • Schakel 2FA-opties in om online accounts te beveiligen, maar gebruik iets anders dan uw belangrijkste e-mail als tweede factor, zoals "een telefoonnummer, softwarematige authenticatieprogramma's/apps, USB-beveiligingssleutel of een apart e-mailaccount (met een uniek wachtwoord dat niet aan andere consumentenaccounts is gekoppeld)".

    De FBI moedigt iedereen, of elke organisatie, die denkt het slachtoffer te zijn geworden van merkimitatie, aan contact op te nemen met de plaatselijke rechtshandhaving of het plaatselijke FBI-veldkantoor. Daarnaast zeggen zij de activiteit onmiddellijk te melden bij het Internet Crime Complaint Center van de FBI.

    De kern van de zaak

    Het wordt steeds moeilijker om uw merk te beschermen tegen online imitatie, of om uw organisatie te beveiligen tegen zakelijke e-mailcompromittering, ransomware en andere cybercriminaliteit die merkimitatie gebruikt om in te breken in het bedrijfsnetwerk. Cyberresilience vereist in toenemende mate krachtige cyberbeveiligingstechnologieën, zoals veilige e-mailgateways, voortdurende training in beveiligingsbewustzijn, diensten voor merkexploitatiemonitoring - en voortdurende waakzaamheid.

    [1] "Cybercriminelen ontwikkelen en verkopen waarschijnlijk scammingtools om de geloofsbrieven van merkconsumenten te oogsten," FBI

    Abonneer u op Cyber Resilience Insights voor meer artikelen zoals deze

    Ontvang al het laatste nieuws en analyses over de cyberbeveiligingsindustrie rechtstreeks in uw inbox

    Succesvol aanmelden

    Dank u voor uw inschrijving om updates van onze blog te ontvangen

    We houden contact!

    Terug naar boven