O que é o comprometimento da conta de e-mail (EAC)?

Você provavelmente já ouviu falar do termo Business Email Compromise (BEC) antes. Mas talvez não tenha ouvido falar sobre o Email Account Compromise (EAC), que é um primo próximo do BEC. Na verdade, BEC e EAC estão tão interligados que o FBI rastreia esses golpes como um único tipo de crime desde 2017. Então, o que exatamente é EAC?

Email Account Compromise (EAC) é um ataque altamente sofisticado no qual os invasores usam várias táticas, como pulverização de senha, phishing ou malware, para comprometer as contas de email das vítimas, obtendo acesso a caixas de correio legítimas. O EAC também leva à fraude por e-mail, em que o invasor usa engenharia social para enganar ou ameaçar o alvo para fazer um pagamento financeiro fraudulento. No caso do EAC, quase sempre há duas vítimas - a pessoa cuja conta de e-mail foi comprometida e a outra pessoa que cai na solicitação fraudulenta da conta de e-mail comprometida.

Existem várias maneiras de os invasores obterem acesso a uma caixa de correio legítima. A execução de um ataque de força bruta é um dos métodos mais populares de quebra de senha, em que os invasores usam ferramentas automatizadas para tentar nomes de usuário e senhas repetidamente, até que consigam. Outras táticas de ataque comuns incluem phishing, em que os invasores enviam um e-mail com um link para um site falso criado para o roubo de credenciais. Às vezes, os invasores utilizam malware, como keyloggers ou stealers, para invadir a conta do alvo. Independente da tática, o objetivo é que o atacante se torne você.

Depois que os invasores obtêm acesso legítimo à conta de e-mail do alvo, eles têm acesso a um tesouro de informações – e-mail, calendário, reuniões importantes com fornecedores ou clientes, diretório corporativo e até a mesmo arquivos compartilhados – para traçar o perfil de sua vítima. Mais importante, os invasores mantêm o acesso criando regras de encaminhamento de e-mail ou alterando as permissões da conta, para que possam monitorar de perto a vítima e estudar a empresa. Eles imitam a vítima, elaboram mensagens muito convincentes e oportunas usando o conhecimento que adquirem para enviar e-mail no momento oportuno.

Os alvos dos ataques EAC incluem seus funcionários, emails pessoais e corporativos, seus parceiros de negócios e seus clientes. O comprometimento da conta de e-mail geralmente se parece com os seguintes esquemas:

Ataques à cadeia de fornecimento

Cenário I: Seu departamento financeiro foi comprometido

O invasor compromete a conta de e-mail de um funcionário do seu departamento financeiro. Uma vez lá dentro, o invasor cria uma regra de encaminhamento dentro da plataforma de e-mail e começa a coletar cópias de todas as mensagens. Em seguida, ele usa o conhecimento que obtém da conta comprometida, como frequência de cobrança e interação com os clientes, para criar faturas com aparência idêntica, usando terminologia e logotipos adequados, e as envia ao seu cliente. Quando o cliente paga a fatura, o pagamento vai direto para a conta bancária dos fraudadores e não para a da sua empresa. O cliente pensa que paga a sua empresa, mas na verdade paga ao fraudador sem saber. Consequentemente, sua empresa não apenas perde dinheiro devido a você, mas também tem um sério problema de satisfação do cliente.

Cenário II: O departamento de contabilidade do seu fornecedor foi comprometido

O invasor compromete a conta de e-mail do seu fornecedor. Assim como no exemplo acima, o invasor aprende todos os detalhes e interações entre você e seu fornecedor. Ele então cria faturas idênticas e as envia para sua empresa. Só que desta vez, o invasor substitui as informações bancárias pela conta bancária para a qual deseja que você transfira o dinheiro. Como resultado, seu fornecedor nunca recebe o pagamento de sua empresa e sua empresa sofre perdas financeiras por pagar indevidamente ao fraudador. Isso também prejudica seu relacionamento comercial com o fornecedor.

Redirecionamento de folha de pagamento

O invasor compromete a conta de e-mail de um funcionário e envia um e-mail ao RH solicitando a atualização do depósito direto do funcionário vitimado na conta bancária do invasor. Em alguns casos, o invasor compromete a conta de e-mail de um executivo de gerenciamento e estuda os negócios da vítima, como atividades de fusão e aquisição (M&A). O invasor então envia um e-mail usando a conta executiva comprometida para o departamento de contabilidade, solicitando a execução de uma transação de transferência de dinheiro para concluir uma aquisição, só que desta vez a conta bancária foi substituída pelo invasor.

O que o BEC e o EAC têm em comum é que eles visam pessoas, contam com engenharia social e são criados para solicitar transferências eletrônicas ou pagamentos fraudulentos ou para roubar informações. A maior diferença entre o Business Email Compromise (BEC) e o Email Account Compromise (EAC) é que, no caso do BEC, o invasor finge ser você; enquanto no caso do EAC, o invasor é você. Para o BEC, os invasores costumam usar táticas de falsificação de identidade, como falsificação de domínio, falsificação de nome e domínios semelhantes, para induzir as pessoas a fazer pagamentos para contas fraudulentas. Quanto ao EAC, os invasores encontram diferentes maneiras de comprometer sua conta de e-mail para que possam “ser você”. Quando eles usam seu e-mail legítimo para realizar fraudes por e-mail internamente ou com seus parceiros de negócios ou clientes, eles ignoram os controles de autenticação de e-mail como SPF, DKIM e DMARC.

Como o EAC e o BEC estão tão conectados, é fundamental que você adote uma abordagem holística para proteger sua empresa. Em outras palavras, se você está resolvendo apenas o EAC, está abordando apenas parte do problema. Para obter a proteção mais eficaz, você precisa encontrar soluções para o BEC e o EAC.

Dada a complexidade de várias táticas e canais para esses ataques, você precisa de uma solução abrangente que aborde todas as táticas dos invasores. Contar apenas com um único controle técnico ou treinamento de conscientização de segurança deixa sua empresa exposta. Para saber mais sobre como proteger sua empresa contra ataques BEC e EAC, clique aqui. Ou confira o webinar Como resolver o problema de e-mail comercial e comprometimento de contas de $26 bilhões.