新規採用者はフィッシングメールを非常に迅速に受け取ります-理由と停止方法
1週間前に新しいセールスオプスメンバーを採用しました。1週間以内に、彼は以下のようなメールを受け取ります。
私は送信者についていくつかの調査を行いました、そしてそれは有効な電子メール、有効な人です、SPF / DKIMチェックはうまくいきます。私はCEOに連絡して、送信者を知っているかどうかを確認しました。
- 従業員になりすましたメッセージを拒否することでこれを阻止できることはわかっています。問題は、名前の部分が原因で個人の電子メールを拒否することです。Office 365にこれらを検出し、よりインテリジェントに停止する方法はありますか？
- これらの詐欺師の一部がこのデータを簡単に取得して、このような電子メールを送信できるようにする方法は何ですか？彼らは常に私の営業チームを襲っており、私の運用チームや技術チームを襲っていません。私のチームは、最新のアップデートでBitDefenderを実行しており、受信データと送信データもスキャンする強力なファイアウォールとゲートウェイの背後で実行しています。
回答
おそらく、MXレコードがディレクトリハーベスト攻撃（DHA）に苦しんでいます。これを行う方法はたくさんありますが、メールログを注ぐことに精通していない限り、それらのほとんどは（設計上）検出が困難です。
DHAの最も単純な形式には、SMTPvrfyとexpnコマンドが含まれます。これらを完全にブロックできます。より洗練された攻撃は、構成電子メールを伴い、その後（末尾がそれらを完了することはできません.の終わりマーキングdataコマンドを、あるいは単にrsetまたはquitまたは発行する前に、接続落とすdataコマンド）。
o365を排他的に使用している場合、MXからの収集が懸念される可能性は低くなります（MicrosoftはほとんどのDHAの試行をブロックするのに十分な知識があると思いますが、DHAが試行されたかどうか、または成功したかどうかを判断するのに十分なフォレンジックデータを提供しない場合があります切断される前）。おそらく、攻撃者は、ユーザーのリストや、攻撃者がメールやアドレス帳を読むためにアクセスできる侵害されたユーザーシステムやアカウントなど、このデータの別のソースを見つけた可能性があります。
ユーザー名が予測可能な場合（[email protected]など）、攻撃者は会社の従業員リストまたはLinkedInなどのサイトをスクレイピングしてユーザーを特定できます。アドレスのもう1つのソースは、公開メーリングリストのアーカイブです。
できることの1つは、スパムトラップ（別名ハニーポット）を設定することです。架空のユーザー用に新しいアカウントを作成し、誰にも言わないでください。しばらく待って、メールが届き始めるかどうかを確認してください。DHAがあったことがわかります。噛まれない場合は、攻撃者が収穫する場所にトラップがリストされていません。それらが何であるかを考え出し、新しい専用アドレスをスピンアップしてみてください（または、アカウントごとに支払う必要がある場合は、新しいシード手法を1つのトラップアカウントに1つずつ追加し、追加するたびに数週間を置いて識別できるようにしますそれ）。
簡単な方法は、スクリプトを使用してLinkedInを監視し、新入社員を探し、職務内容に基づいてターゲットにすることです。
あっという間に、ヘイデンが2ヶ月前に「セールスオペレーションマネージャー」として雇われたことがわかりました。
Office 365サブスクリプションに応じて、フィッシングと戦うための複数の機能があります。Microsoft365のフィッシング対策保護
これらの詐欺師の一部がこのデータを簡単に取得して、このような電子メールを送信できるようにする方法は何ですか？
わかりにくいですが、営業担当者は（仕事をするために）さまざまなWebサイトに登録していると思います。これにより、アドレスが漏洩したり、データを収集するために完全に構築されたりする可能性があります。
次回そのチームの誰かを雇うときは、しばらく何も購読しないように言って、何が起こるか見てみましょう。または、電子メールアドレスを設定し、それを使用して、営業担当者が使用するのと同じWebサイトにサブスクライブし、何が起こるかをもう一度確認します。
まず、SPFとDKIMがメールが実際にGmailから送信されたことを示している場合（GmailにはSOFTFAIL spfしかないことに注意してください）、このアドレスを完全にブロックする必要があります。またはさらに良いことに、次の人がそれが不正であると検出しない可能性があるため、その送信者からの電子メールが自動的に内部ITセキュリティへのチケットを作成するようにします。
CEOがAliceCeoSE [email protected]であり、新入社員がHayden Sales [email protected]であり、偽物が[email protected]であると仮定します。
これは、alice.ceose @ gmail.comが作成され、会社でCEO詐欺を実行することを唯一の目的とする誰かによって管理されていることを意味します。
あなたがそれをブロックした後に彼らが新しいGmailアドレスを作成することは簡単ですが、そうしないのはばかげているでしょう。新しいアカウントを開くために余分な労力を費やしてもらいます（さらに、あなたがそれを検出したかどうかもわかりません。また、このアカウントから他に誰がメールを受信したかを確認してください）。次の男はそれが詐欺であると検出せず、失敗するかもしれません。
さらに、この攻撃を利用して、ビジネス電子メールの侵害/ CEO詐欺、それが何であるか、人々が何をすることが期待されているか（想定される「CEO」が何も言わないように求めている場合でも）の一般的なリマインダーを送信します。あなたの会社は今攻撃されている（もちろん、あなたがこれは演習でない限り、これはのクリアケースで、高アップからの承認を必要とするかもしれませんが、なぜいくつかのものが重要です）。
これは一時的な測定であるため、コンテンツでそれをキャッチするためのルールも追加しようとします。彼女がその正確なフレーズを使用しない場合、多分「最高経営責任者」のテキスト？
あなたはあなたが個人的な電子メールを逃すだろうと言います。ただし、これがCEOになりすますために作成されたアカウントである場合は、そこから従業員（セキュリティチーム以外）に何も届かないようにする必要があります。
CEOが個人アカウントからメールを送信したときにメールが失われるという問題がある場合は、その損失を受け取ります。従業員は、個人のアカウントから仕事関連の電子メールを送信する必要はありません。（*）全社的には実用的ではないかもしれませんが、経営幹部にとっては確かに価値があります。これは、会社が提供する電子メールでのみ会社に連絡する必要があることを意味します。これには、トップ（CEOなど）からの注文が必要であり、CEO自身を含める必要があります。
このような状態の電子メールが自動的にセキュリティインシデントチケットを作成するように実装することをお勧めします。
XX YYYY ZZZZに、Alice [email protected]からのメールが[email protected]に送信されました。これはCEOからのものであると主張していますが、2020年8月22日付けのCEOのメモによると、8 /に経営幹部になりすます試みが行われた後、内部コミュニケーションに使用できる唯一の会社の電子メールは使用していません。 19/2020そして数百万の会社をだまします。
そして、偽装された人に会社の電子メールアドレスに通知します（その人から実際に送信された場合、あなたが電子メールを黙ってフィルタリングしたと主張することはできず、自動であるため、誰も彼らの不正行為のために電話をかける必要はありません）。実用上の理由から、ユーザーごとのホワイトリストも含めることをお勧めします（このルールを継続的に忘れているエグゼクティブの実際の個人アドレスを含めることができます）。
（*）明らかな例外は、電子メールアドレスが割り当てられる前、またはCOVID在宅勤務の手段で、アカウントがブロックされた場合にヘルプデスクと通信することです（ヘルプデスクが従業員へのなりすましの試みに陥ってはならないという明らかな危険があります） ）。あなたの弁護士はおそらくあなたに千の理由を与えるでしょう-あなたのコントロールの外のアカウントと会社情報を共有しない理由。
2番目の質問については、新入社員がリークした可能性があります。
- 予測可能な電子メールの命名パターン
- LinkedInなどの従業員のソーシャルネットワーク（nullで示されている）
- 彼らのウェブページ、ソーシャルメディアなどでの会社の出版物（「私たちのチーム」、「私たちの新入社員ヘイデンを歓迎してください」...）
- ニュースレター、会議など。
- 従業員の侵害されたアカウント（メールを送信した人のアドレスリストを漏らしている...または会社全体）
あなたの会社はウイルスが十分に除去されていると思います（私は間違っているかもしれません）。従業員が社外の人と電子メールで通信している場合、感染したマシンでメールを読んでいる人にメッセージを送信した可能性があります。そのような人のコンピュータ上の悪意のあるプログラムは、アドレス帳を収集して電子メールデータベースを構築し、スパムを送信し、あらゆる種類の厄介なことを行う可能性があります。
したがって、外の世界とのつながりが多い従業員は、より露出されます。
Office 365をよく知らないので、これを停止する方法を説明できません。ただし、実際には、明らかにフィッシングである電子メールを従業員がいくつか受信するのは良いことかもしれません。これにより、行動を起こす前に、警戒を怠らず、各メッセージに常識的なチェックを適用できます。ある日、あなたの会社は、良いメールと悪いメールを自動的に区別する簡単な方法がない、手の込んだフィッシングの試みにさらされる可能性があります。その場合、最善の障壁は、従業員がリンクをクリックしたり返信したりしないことです。
最後に、新しい新しい電子メールに関するいくつかの「個人データ」を追加できます。10年以上の間、私は約1000の個人電子メールアドレスを使用しており、それぞれを固有のWebサービスに登録しています。それらの大多数で、私は合法的なメールしか受け取りませんでした。その他については、2つのケースを特定できました。
最初のケースでは、電子メールは、個人データの処理がほぼすべて自動化されていると想定するのに十分な大きさの会社が管理する合法的なWebサイトのアカウントを作成するために使用されました。すべての場合において、私がスパムを受信し始めたとき、Google検索は、スパムが開始される数週間または数か月前にWebサイトがハッキングされたというニュース記事を指摘しました。ほとんどの場合、会社は問題を発見した後にデータ漏えいについて私に知らせましたが、1つか2つの出来事では彼らはしませんでした...
2番目のケースでは、上記と同様に、アカウントを作成するか、正規のWebサイトでサービスを要求するための電子メールを生成しました。ただし、ここでは、私の電子メールが誰かのパーソナルコンピュータ（小さなWebサイト、人間からの個人的な電子メールの受信を期待できるサービスなど）に保存されている可能性があります。特に、ショーなどの1回限りのイベントに登録するときにリークされたアドレスがたくさんあります。その場合、主催者は参加者のリストを収集できるように、フォームを使用してイベントのWebサイトを作成したと思います。次に、手動で正当なメッセージを送信しますが、残念ながら、私のデータを収集できる悪意のあるソフトウェアを搭載したコンピューターから送信します。ここでは、リークに関するニュース記事を見つけたり、主催者からハッキングの通知を受けたりしたことはありません。