พนักงานใหม่รับอีเมลฟิชชิงเร็วมาก - เหตุผลและวิธีหยุด

Aug 20 2020

เราจ้างสมาชิก Sales Ops ใหม่เมื่อ 1 สัปดาห์ก่อน ภายในหนึ่งสัปดาห์เขาจะได้รับอีเมลคล้ายกับด้านล่าง:

ฉันได้ทำการค้นคว้าข้อมูลเกี่ยวกับผู้ส่งและเป็นอีเมลที่ถูกต้องบุคคลที่ถูกต้องการตรวจสอบ SPF / DKIM ก็ผ่านได้ดี ฉันติดต่อซีอีโอของฉันเพื่อตรวจสอบว่าเขารู้จักผู้ส่งหรือไม่

ฉันรู้ว่าฉันสามารถหยุดสิ่งนี้ได้ด้วยการปฏิเสธข้อความที่หลอกลวงพนักงานปัญหาคือฉันปฏิเสธอีเมลส่วนตัวของพวกเขาเนื่องจากส่วนของชื่อ มีวิธีใดใน Office 365 ในการตรวจจับสิ่งเหล่านี้และหยุดอย่างชาญฉลาดมากขึ้น
วิธีใดบ้างที่นักต้มตุ๋นเหล่านี้ได้รับข้อมูลนี้อย่างง่ายดายเพื่อให้พวกเขาสามารถส่งอีเมลเช่นนี้ได้ พวกเขามักจะโจมตีทีมขายของฉันไม่ใช่ฝ่ายปฏิบัติการหรือทีมเทคโนโลยีของฉัน ทีมของฉันใช้งาน BitDefender ด้วยการอัปเดตล่าสุดและทำงานอยู่เบื้องหลังไฟร์วอลล์และเกตเวย์ที่แข็งแกร่งซึ่งจะสแกนข้อมูลขาเข้าและขาออกด้วย

คำตอบ

83 AdamKatz Aug 20 2020 at 02:09

สันนิษฐานว่าระเบียน MX ของคุณกำลังประสบปัญหาการโจมตีการเก็บเกี่ยวไดเรกทอรี (DHA) มีหลายวิธีในการดำเนินการนี้และหากคุณไม่ถนัดในการป้อนข้อมูลบันทึกเมลของคุณส่วนใหญ่จะตรวจพบได้ยาก (โดยการออกแบบ)

DHA รูปแบบที่ง่ายที่สุดเกี่ยวข้องกับ SMTP vrfyและexpnคำสั่ง คุณสามารถบล็อกสิ่งเหล่านี้ได้ทั้งหมด การโจมตีที่ซับซ้อนมากขึ้นอาจเกี่ยวข้องกับการเขียนอีเมลจากนั้นจึงไม่ดำเนินการให้เสร็จสิ้น (การต่อท้าย.ทำเครื่องหมายจุดสิ้นสุดของdataคำสั่งหรือแม้แต่เพียงrsetหรือquitหรือทิ้งการเชื่อมต่อก่อนออกdataคำสั่ง)

หากคุณใช้ o365 โดยเฉพาะการเก็บเกี่ยวจาก MX นั้นมีโอกาสน้อยที่จะเป็นกังวล (ฉันคิดว่า Microsoft มีความเข้าใจเพียงพอที่จะบล็อกความพยายาม DHA ส่วนใหญ่แม้ว่าพวกเขาอาจให้ข้อมูลทางนิติเวชไม่เพียงพอที่จะพิจารณาว่า DHA พยายามหรือประสบความสำเร็จเพียงใด ก่อนที่จะถูกตัดออก) บางทีผู้โจมตีอาจพบแหล่งข้อมูลอื่นเช่นรายชื่อผู้ใช้ของคุณหรือระบบผู้ใช้หรือบัญชีที่ถูกบุกรุกซึ่งผู้โจมตีสามารถเข้าถึงเพื่ออ่านเมลหรือสมุดที่อยู่

หากชื่อผู้ใช้ของคุณสามารถคาดเดาได้เช่น [email protected] ผู้โจมตีสามารถระบุผู้ใช้โดยการคัดลอกรายชื่อพนักงานของ บริษัท หรือเว็บไซต์เช่น LinkedIn แหล่งที่อยู่อีกแหล่งหนึ่งคือที่เก็บถาวรรายชื่ออีเมลสาธารณะ

สิ่งหนึ่งที่คุณทำได้คือตั้งค่ากับดักสแปม (หรือที่เรียกว่า honeypot) เพียงสร้างบัญชีใหม่สำหรับผู้ใช้สมมติและอย่าบอกใคร รอสักครู่เพื่อดูว่ามันเริ่มได้รับเมลหรือไม่และคุณจะรู้ว่ามี DHA หากคุณไม่ถูกกัดแสดงว่ากับดักของคุณไม่ได้อยู่ในสถานที่ที่ผู้โจมตีเก็บเกี่ยว ลองคิดดูว่าสิ่งเหล่านี้คืออะไรและสร้างที่อยู่เฉพาะใหม่ (หรือหากคุณต้องจ่ายต่อบัญชีให้เพิ่มเทคนิคการเริ่มต้นใหม่ในบัญชีกับดักเดียวทีละบัญชีโดยใช้เวลาสองสามสัปดาห์ระหว่างการเพิ่มแต่ละครั้ง มัน).

15 null Aug 20 2020 at 04:17

วิธีง่ายๆคือการตรวจสอบ LinkedIn โดยใช้สคริปต์เพื่อค้นหาการจ้างงานใหม่และกำหนดเป้าหมายตามรายละเอียดงานของพวกเขา

ในเวลาไม่นานฉันพบว่าเฮย์เดนได้รับการว่าจ้างเมื่อ 2 เดือนก่อนในตำแหน่ง "ผู้จัดการฝ่ายปฏิบัติการขาย"

ขึ้นอยู่กับการสมัครใช้งาน Office 365 ของคุณมีคุณสมบัติหลายอย่างในการต่อสู้กับฟิชชิ่ง: การป้องกันฟิชชิ่งใน Microsoft 365

12 A.Darwin Aug 20 2020 at 01:44

วิธีใดบ้างที่นักต้มตุ๋นเหล่านี้ได้รับข้อมูลนี้อย่างง่ายดายเพื่อให้พวกเขาสามารถส่งอีเมลเช่นนี้ได้

เป็นเรื่องยากที่จะบอก แต่ฉันเดาว่าเจ้าหน้าที่ฝ่ายขายของคุณสมัครรับข้อมูลจากเว็บไซต์ต่างๆ (เพื่อทำงานของพวกเขา) ซึ่งอาจทำให้ที่อยู่รั่วไหลหรือถูกสร้างขึ้นมาเพื่อรวบรวมข้อมูล

ครั้งต่อไปที่คุณจ้างคนในทีมนั้นอย่าบอกพวกเขาว่าอย่าสมัครสมาชิกอะไรสักพักแล้วดูว่าจะเกิดอะไรขึ้น หรือเพียงแค่ตั้งค่าที่อยู่อีเมลแล้วใช้เพื่อสมัครสมาชิกเว็บไซต์เดียวกันกับที่ฝ่ายปฏิบัติการฝ่ายขายใช้และดูอีกครั้งว่าเกิดอะไรขึ้น

11 Ángel Aug 20 2020 at 05:00

ก่อนอื่นหาก SPF และ DKIM แสดงว่าอีเมลนั้นส่งมาจาก gmail (โปรดทราบว่า gmail มีเฉพาะ SOFTFAIL spf) คุณต้องบล็อกที่อยู่นี้ทันที หรือดีกว่านั้นให้อีเมลใด ๆ จากผู้ส่งรายนั้นสร้างตั๋วไปยังการรักษาความปลอดภัยไอทีภายในของคุณโดยอัตโนมัติเนื่องจากคนถัดไปอาจตรวจไม่พบว่าเป็นการฉ้อโกง

สมมติว่า CEO คือ Alice CeoSE [email protected] และผู้ว่าจ้างรายใหม่คือ Hayden Sales [email protected] โดยปลอมจาก [email protected]

ซึ่งหมายความว่า [email protected] ถูกสร้างขึ้นและถูกควบคุมโดยบุคคลที่มีจุดประสงค์เพียงเพื่อดำเนินการฉ้อโกงซีอีโอใน บริษัท ของคุณ

การสร้างที่อยู่ gmail ใหม่จะเป็นเรื่องเล็กน้อยหลังจากที่คุณบล็อกไปแล้ว แต่มันจะโง่มากที่จะไม่ทำเช่นนั้น ทำให้พวกเขาใช้ความพยายามมากขึ้นในการเปิดบัญชีใหม่ (และพวกเขาไม่รู้ว่าคุณตรวจพบหรือไม่นอกจากนี้โปรดตรวจสอบว่าใครได้รับอีเมลจากบัญชีนี้อีก) คนต่อไปอาจตรวจไม่พบว่าเป็นการฉ้อโกงและล้มเหลวในเรื่องนี้

นอกจากนี้ฉันจะใช้ประโยชน์จากการโจมตีนี้เพื่อส่งการแจ้งเตือนทั่วไปเกี่ยวกับ Business Email Compromise / CEO Fraud ว่าคืออะไรผู้คนคาดหวังให้ทำอะไร (ไม่ว่า "CEO" ควรจะขอให้พวกเขาไม่พูดอะไรก็ตาม!) และ ว่าบริษัท ของคุณกำลังถูกโจมตีในขณะนี้ (เห็นได้ชัดว่าคุณอาจต้องได้รับการอนุมัติจากผู้ที่มีตำแหน่งสูงกว่า แต่ถ้าเป็นแบบฝึกหัดนี่เป็นกรณีที่ชัดเจนว่าเหตุใดบางสิ่งจึงมีความสำคัญ)

ฉันจะพยายามเพิ่มกฎเพื่อจับมันในเนื้อหาด้วยเนื่องจากเป็นมาตรการชั่วคราว อาจจะเป็นข้อความ "ประธานเจ้าหน้าที่บริหาร" ถ้าเธอไม่ใช้วลีนั้น

คุณบอกว่าคุณจะพลาดอีเมลส่วนตัว อย่างไรก็ตามหากนี่เป็นบัญชีที่สร้างขึ้นเพื่อแอบอ้างเป็น CEO ของคุณคุณจะไม่ต้องการอะไรจากที่นั่นเพื่อเข้าถึงพนักงานของคุณ (นอกเหนือจากทีมรักษาความปลอดภัย)

หากปัญหาของคุณคือคุณจะสูญเสียอีเมลเมื่อ CEO ส่งอีเมลจากบัญชีส่วนตัวของเธอฉันจะรับความสูญเสียนั้น พนักงานไม่ควรส่งอีเมลเกี่ยวกับงานจากบัญชีส่วนตัว (*) อาจไม่ได้ใช้งานได้จริงทั่วทั้ง บริษัท แต่ก็คุ้มค่าสำหรับผู้บริหารระดับ C ซึ่งหมายความว่าพวกเขาจะต้องติดต่อ บริษัท ด้วยอีเมลที่ บริษัท ให้มาเท่านั้นซึ่งจะต้องมีคำสั่งจากด้านบน (เช่น CEO) และต้องรวมถึง CEO ด้วย

ฉันขอแนะนำให้ใช้อีเมลใด ๆ ที่มาพร้อมกับเงื่อนไขดังกล่าวจะสร้างตั๋วเหตุการณ์ด้านความปลอดภัยโดยอัตโนมัติ :

เมื่อวันที่ XX YYYY ZZZZ อีเมลจาก Alice Ceose [email protected] ถูกส่งไปที่ [email protected] ข้อความนี้อ้างว่ามาจาก CEO แต่ไม่ได้ใช้อีเมล บริษัท ของเธอซึ่งเป็นอีเมลเดียวที่ได้รับอนุญาตให้ใช้เพื่อการสื่อสารภายในตามบันทึกของ CEO ลงวันที่ 8/22/2020 หลังจากมีความพยายามที่จะแอบอ้างเป็นผู้บริหารของเราเมื่อวันที่ 8 / 19/2020 และฉ้อโกง บริษัท หลายล้าน

และแจ้งผู้ที่แอบอ้างไปยังที่อยู่อีเมลของ บริษัท (เพื่อที่ว่าหากบุคคลนั้นส่งมาจริงไม่สามารถอ้างได้ว่าคุณกรองอีเมลแบบเงียบ ๆ และโดยอัตโนมัติไม่มีใครต้องเรียกร้องให้พวกเขากระทำผิด) ด้วยเหตุผลในทางปฏิบัติฉันขอแนะนำให้รวมรายการที่อนุญาตพิเศษสำหรับผู้ใช้แต่ละรายด้วย (ซึ่งคุณสามารถระบุที่อยู่ส่วนตัวของผู้บริหารที่ลืมกฎนี้อย่างต่อเนื่อง)

(*) ข้อยกเว้นที่ชัดเจนจะเกิดขึ้นก่อนที่จะได้รับการกำหนดที่อยู่อีเมลหรือด้วยมาตรการการทำงานจากที่บ้านของ COVID การสื่อสารกับฝ่ายช่วยเหลือหากพวกเขาบล็อกบัญชีของพวกเขา (โดยมีอันตรายที่ชัดเจนว่าฝ่ายช่วยเหลือจะต้องไม่พยายามแอบอ้างเป็นพนักงาน ). ทนายความของคุณอาจให้เหตุผลหลายพันประการที่จะไม่เปิดเผยข้อมูล บริษัท กับบัญชีที่อยู่นอกเหนือการควบคุมของคุณ

สำหรับคำถามที่สองการจ้างงานใหม่อาจรั่วไหล:

รูปแบบการตั้งชื่ออีเมลที่คาดเดาได้
เครือข่ายสังคมของพนักงานเช่น LinkedIn ( ตามที่ระบุไว้ด้วยค่าว่าง )
สิ่งพิมพ์ของ บริษัท บนหน้าเว็บโซเชียลมีเดีย ฯลฯ ("ทีมงานของเรา" "โปรดต้อนรับผู้ว่าจ้างใหม่ของเรา Hayden" ... )
จดหมายข่าวการประชุม ฯลฯ
บัญชีที่ถูกบุกรุกของพนักงาน (รั่วไหลรายการที่อยู่ของบุคคลที่พวกเขาส่งอีเมล ... หรือของทั้ง บริษัท )

6 Tony Aug 20 2020 at 01:51

ฉันถือว่า บริษัท ของคุณสะอาดเพียงพอสำหรับไวรัสใด ๆ (ฉันอาจคิดผิด) หากพนักงานของคุณสื่อสารทางอีเมลกับบุคคลภายนอก บริษัท มีแนวโน้มว่าเขาจะส่งข้อความถึงคนที่อ่านจดหมายของพวกเขาบนเครื่องที่ติดไวรัส โปรแกรมที่เป็นอันตรายในคอมพิวเตอร์ของบุคคลดังกล่าวอาจรวบรวมสมุดที่อยู่เพื่อสร้างฐานข้อมูลอีเมลเพื่อส่งสแปมและทำสิ่งที่น่ารังเกียจทุกประเภท

พนักงานที่มีการเชื่อมโยงกับโลกภายนอกจำนวนมากจึงเปิดเผยมากขึ้น

ฉันไม่รู้จัก Office 365 ดีฉันจึงไม่สามารถบอกคุณได้ว่าจะหยุดสิ่งนี้ได้อย่างไร อย่างไรก็ตามอาจเป็นการดีที่พนักงานของคุณจะได้รับอีเมลสองสามฉบับที่เห็นได้ชัดว่าเป็นฟิชชิง สิ่งนี้ช่วยให้พวกเขาตื่นตัวและใช้การตรวจสอบสามัญสำนึกในแต่ละข้อความก่อนที่จะดำเนินการ วันหนึ่ง บริษัท ของคุณอาจมีการพยายามฟิชชิงที่ซับซ้อนโดยไม่มีวิธีง่ายๆในการแยกแยะความดีโดยอัตโนมัติจากอีเมลที่ไม่ดี หากเป็นเช่นนั้นอุปสรรคที่ดีที่สุดคือพนักงานที่ไม่คลิกลิงก์หรือตอบกลับ

ในที่สุดฉันก็สามารถเพิ่ม "ข้อมูลส่วนตัว" บางส่วนเกี่ยวกับอีเมลใหม่ ๆ ได้: เป็นเวลากว่าทศวรรษที่ฉันใช้ที่อยู่อีเมลส่วนตัวประมาณ 1,000 รายการโดยลงทะเบียนแต่ละรายการกับบริการเว็บที่ไม่ซ้ำใคร ส่วนใหญ่ฉันได้รับจดหมายที่ถูกต้องเท่านั้น ในกรณีอื่น ๆ ฉันสามารถระบุได้สองกรณี: