Новые сотрудники очень быстро получают фишинговые письма - аргументы и как их остановить
Неделю назад мы наняли нового сотрудника отдела продаж. В течение недели он получает электронные письма, подобные приведенным ниже:
Я провел небольшое исследование отправителя, и это действующий адрес электронной почты, действительное лицо, проверки SPF / DKIM проходят нормально. Я связался со своим генеральным директором, чтобы узнать, знает ли он отправителя.
- Я знаю, что могу остановить это, отклонив сообщения, подделывающие сотрудника, проблема в том, что я бы отклонил их личные электронные письма из-за части имени. Есть ли в Office 365 способ их обнаружить и более разумно остановить?
- Каким образом некоторые из этих мошенников так легко получают эти данные, чтобы отправлять такие электронные письма? Они всегда поражают мои команды продаж, а не операционную или техническую команду. Моя команда использует BitDefender с последними обновлениями и использует надежные брандмауэры и шлюзы, которые также сканируют входящие и исходящие данные.
Ответы
Предположительно, ваша запись MX подверглась атаке сбору каталога (DHA). Есть много способов сделать это, и если вы не очень разбираетесь в чтении журналов электронной почты, большинство из них (по замыслу) трудно обнаружить.
Простейшая форма DHA включает SMTP vrfyиexpn команды. Вы можете полностью заблокировать их. Более сложные атаки могут включать в себя не сочинять электронную почту , а затем никогда их завершения (тянущаяся .маркировки конец dataкоманды, или даже просто rsetили quitили разорвав соединение до выдачи dataкоманды).
Если вы используете исключительно o365, сбор данных из MX менее вероятен (я предполагаю, что Microsoft достаточно сообразительна, чтобы заблокировать большинство попыток DHA, хотя они могут не предоставить достаточно данных судебной экспертизы, чтобы определить, была ли попытка DHA была предпринята или насколько успешно она была до того как его отрубили). Возможно, злоумышленники нашли другой источник этих данных, например список ваших пользователей или скомпрометированную пользовательскую систему или учетную запись, к которой злоумышленники могут получить доступ для чтения почты или адресной книги.
Если ваши имена пользователей предсказуемы, например [email protected], злоумышленник может определять пользователей, просматривая список сотрудников компании или сайт, например LinkedIn. Другой источник адресов - это общедоступные архивы списков рассылки.
Вы можете создать ловушку для спама (также известную как приманка). Просто создайте новую учетную запись для вымышленного пользователя и никогда никому не говорите. Подождите некоторое время, чтобы увидеть, начинает ли он получать почту, и вы узнаете, что это был DHA. Если вас не укусили, значит, ваша ловушка не была указана в списке мест, где добывают урожай. Попытайтесь придумать, что это может быть, и развернуть новые выделенные адреса (или, если вам нужно платить за учетную запись, добавлять новые методы раздачи к одной учетной записи-ловушке один за другим, с несколькими неделями между каждым добавлением, чтобы вы могли идентифицировать Это).
Самый простой способ - отслеживать LinkedIn с помощью сценария для поиска новых сотрудников и нацеливания на них на основе их должностных инструкций.
В мгновение ока я обнаружил, что Хайден был нанят 2 месяца назад в качестве «менеджера по продажам».
В зависимости от вашей подписки на Office 365 есть несколько функций для борьбы с фишингом: Защита от фишинга в Microsoft 365
Каким образом некоторые из этих мошенников так легко получают эти данные, чтобы отправлять такие электронные письма?
Трудно сказать, но я предполагаю, что ваши сотрудники отдела продаж подписываются на различные веб-сайты (для выполнения своей работы), которые могут либо пропускать адреса, либо быть созданы для сбора данных.
В следующий раз, когда вы возьмете кого-нибудь из этой команды, скажите ему НЕ подписываться ни на что какое-то время и посмотрите, что произойдет. Или просто создайте адрес электронной почты, а затем используйте его для подписки на те же веб-сайты, которые используют сотрудники отдела продаж, и снова посмотрите, что произойдет.
Прежде всего, если SPF и DKIM действительно показывают, что электронное письмо действительно было отправлено из Gmail (обратите внимание, что в Gmail есть только SOFTFAIL spf), вы хотите полностью заблокировать этот адрес. Или, что еще лучше, пусть любое электронное письмо от этого отправителя автоматически создает билет для вашей внутренней ИТ-безопасности, поскольку следующий человек может не обнаружить, что это мошенничество.
Предположим, что генеральным директором является Алиса CeoSE [email protected], а новым сотрудником является Хайден Сейлз [email protected], а подделка - [email protected].
Это означает, что [email protected] был создан и контролируется кем-то с единственной целью - мошенничеством генерального директора в отношении вашей компании.
Для них будет тривиально создать новый адрес Gmail после того, как вы его заблокируете, но было бы глупо этого не делать. Заставьте их приложить дополнительные усилия, чтобы открыть новую учетную запись (плюс, они не знают, обнаружили вы ее или нет. Также проверьте, кто еще получал почту от этой учетной записи). Следующий парень может не обнаружить, что это мошенничество, и потерпеть неудачу.
Кроме того, я бы воспользовался этой атакой, чтобы отправить общее напоминание о компрометации деловой электронной почты / мошенничестве генерального директора, о том, что это такое, что люди ожидают от людей (неважно, что предполагаемый «генеральный директор» просит их ничего не говорить!) И что ваша компания подвергается атаке прямо сейчас (очевидно, вам может потребоваться одобрение высшего руководства, но, если это не упражнение, это явный пример того, почему некоторые вещи важны).
Я бы попытался добавить правила, чтобы уловить это и по содержанию, поскольку это временная мера. Может быть, текст «Главный исполнительный директор», если она не использует именно эту фразу?
Вы упомянули, что пропустите личные электронные письма. Однако, если это учетная запись, созданная для выдачи себя за вашего генерального директора, вы никогда не хотите, чтобы что-либо оттуда достигло ваших сотрудников (кроме группы безопасности).
Если ваша проблема заключается в том, что вы потеряете электронные письма, когда генеральный директор отправляет электронные письма из своего личного аккаунта, я бы взял на себя эту потерю. Сотруднику НИКОГДА НЕ СЛЕДУЕТ отправлять электронные письма, связанные с работой, из личного кабинета. (*) Это может быть не практично для всей компании, но, безусловно, того стоит для руководителей высшего звена. Это будет означать, что они должны связываться со своей компанией только по электронной почте, предоставленной компанией, для этого потребуется приказ сверху (например, генерального директора) и сам генеральный директор.
Я бы рекомендовал реализовать его так, чтобы любое электронное письмо с таким условием автоматически создавало билет нарушения безопасности:
XX YYYY ZZZZ письмо от Алисы Сеозе [email protected] было отправлено по адресу [email protected]. Предполагается, что это исходит от генерального директора, но не используется ее корпоративный адрес электронной почты, который является единственным разрешенным для внутреннего общения, согласно служебной записке генерального директора от 22.08.2020, после того, как 8 августа были попытки выдать себя за наших руководителей. 19/2020 и обмануть многомиллионную компанию.
И уведомите вымышленное письмо на адрес электронной почты компании (чтобы, если он действительно был отправлен этим человеком, не мог утверждать, что вы молча отфильтровали электронное письмо, и что если оно выполняется автоматически, никому не нужно больше звонить им за их проступки). По практическим соображениям я бы рекомендовал также включить белый список для каждого пользователя (где вы можете указать фактический личный адрес тех руководителей, которые постоянно забывают об этом правиле).
(*) Очевидные исключения будут до того, как будет назначен адрес электронной почты, или с помощью мер COVID для работы на дому, общение со службой поддержки, если они заблокируют свою учетную запись (с очевидной опасностью, что служба поддержки не должна подвергаться попыткам выдачи себя за сотрудника. ). Ваши юристы, вероятно, назовут вам тысячу одну причину не раскрывать информацию о компании со счетами, находящимися вне вашего контроля.
Что касается второго вопроса, то могла просочиться информация о новом сотруднике:
- Предсказуемые шаблоны именования электронной почты
- Социальные сети сотрудников, такие как LinkedIn ( как указано нулевым )
- Публикации компании на их веб-страницах, в социальных сетях и т. Д. («Наша команда», «приветствую нашего нового сотрудника, Хайден» ...)
- Информационные бюллетени, конференции и т. Д.
- Взломанный аккаунт сотрудника (утечка списка адресов людей, которым они отправили электронное письмо ... или всей компании)
Я предполагаю, что ваша компания достаточно чиста от любых вирусов (могу ошибаться). Если ваш сотрудник общается по электронной почте с людьми за пределами компании, вероятно, он отправлял сообщения людям, которые читали их почту на зараженной машине. Вредоносные программы на компьютерах таких людей могут собирать адресные книги, создавать базы данных электронной почты, рассылать спам и делать всевозможные гадости.
Таким образом, сотрудники, имеющие множество ссылок на внешний мир, более уязвимы.
Я плохо знаю Office 365, поэтому не могу сказать, как это остановить. Однако на самом деле может быть хорошо, если ваши сотрудники получают несколько писем, явно фишинговых. Это помогает им сохранять бдительность и применять здравый смысл к каждому сообщению, прежде чем действовать. Однажды ваша компания может стать жертвой тщательно продуманной попытки фишинга, из-за которой будет нелегко автоматически отличить хорошие электронные письма от плохих. Если это произойдет, лучшим препятствием будет то, что сотрудник не нажимает на ссылку и не отвечает.
Наконец, я могу добавить некоторые «личные данные» о свежих новых сообщениях электронной почты: более десяти лет я использовал около 1000 личных адресов электронной почты, каждый из которых был зарегистрирован в уникальной веб-службе. В подавляющем большинстве из них я получал только настоящую почту. По остальным я мог выделить два случая:
В первом случае электронная почта использовалась для создания учетной записи на законном веб-сайте, управляемом компанией, достаточно большой, чтобы предположить, что обработка ваших личных данных в значительной степени автоматизирована. ВО ВСЕХ СЛУЧАЯХ, когда я начал получать СПАМ, поиск в Google указывал на новостные статьи о том, что сайт был взломан за несколько недель или месяцев до начала СПАМА. В большинстве случаев компания также сообщала мне об утечке данных после того, как они обнаружили проблему, но в одном или двух случаях они не ...
Во втором случае и аналогично описанному выше я создал электронное письмо, чтобы создать учетную запись или запросить услугу на законном веб-сайте. Однако вполне вероятно, что моя электронная почта могла быть сохранена на чьем-то персональном компьютере (небольшой веб-сайт, служба, для которой вы можете рассчитывать получить личное письмо от человека и т. Д.). В частности, у меня есть много адресов, которые просочились, когда использовались для регистрации на одноразовое мероприятие, такое как шоу. В этом случае я предполагаю, что организаторы просто создали веб-сайт для мероприятия с формой, чтобы они могли собрать список участников. Затем они отправляют вручную легитимные сообщения, но, к сожалению, с компьютера с вредоносным программным обеспечением, которое может собирать мои данные. Здесь я НИКОГДА не находил новостных статей об утечке и не узнал от организаторов ни о каком взломе.