Xâm phạm thư điện tử doanh nghiệp (Business email compromise – BEC) là thuật ngữ chỉ các loại tấn công thông qua email không chứa phần mềm độc hại nói chung. Mặc dù có nhiều hình thức khác nhau, tuy nhiên có hai cơ chế chính mà qua đó, kẻ tấn công xâm nhập vào tổ chức bằng kỹ thuật BEC đó là tấn công giả mạo (spooting) và chiếm tài khoản (account take over).
Trong những nghiên cứu được công bố vào tháng 6/2021 của công ty bảo mật GreatHorn (Hoa Kỳ), 71% tổ chức thừa nhận rằng họ đã từng ghi nhận ít nhất một lần bị tấn công BEC, 43% tổ chức đã gặp phải sự cố bảo mật và 35% trong số họ cho rằng hơn 50% trong số những sự cố này là các tấn công BEC.
Cơ quan khiếu nại tội phạm Internet của FBI báo cáo rằng, loại hình tấn công BEC là loại hình tấn công lừa đảo mang lại tổn thất nhiều nhất trong năm 2020 với 19.369 đơn khiếu nại, ước tính thiệt hại gần 1,8 tỷ USD. Một số cuộc tấn công BEC gần đây bao gồm: Tấn công lừa đảo Barbara Corcoran (nhà đầu tư trong chương trình Shark Tank của Mỹ) gây thiệt hại 380 nghìn USD, tấn công vào chính phủ Puerto Rico với tổn thất 4 triệu USD và tấn công vào tập đoàn truyền thông lớn của Nhật – Nikkei gây tổn hại 29 triệu USD thông qua một email giả mạo.
Để ứng phó với các vụ tấn công BEC, một tổ chức cần chú trọng vào ba yếu tố quan trọng đó là: con người, quy trình và công nghệ.
VỀ QUY TRÌNH
Bộ phận tài chính của tất cả các tổ chức đều cần có chính sách ủy quyền chi tiêu. Chính sách này cho phép đánh giá độ tin cậy của mọi khoản chi tiêu để qua đó bảo đảm được an ninh tài chính của công ty. Chính sách này còn cung cấp công cụ đảm bảo tất cả các chi tiêu được ủy quyền cho đúng người.
Trong một số trường hợp, CEO hay chủ tịch của một công ty được ủy quyền không giới hạn khi yêu cầu thanh toán. Tin tặc nhận thức được điều này, đó là lí do email của các lãnh đạo cấp cao thường bị tin tặc nhắm đến.
Trong bối cảnh về an ninh mạng hiện nay, bộ phận tài chính nên điều chỉnh lại chính sách này để đưa ra những quy trình chặt chẽ hơn. Cụ thể như: cần yêu cầu sự chấp thuận từ nhiều người đối với những khoản chi lớn được thanh toán thông qua séc, chuyển khoản hoặc các hình khác để đảm bảo khoản chi là hợp lệ. Điều này cũng có thể giải thích cho hình thức ủy quyền điện tử hiện nay đang được sử dụng. Ví dụ, nếu một người trong phòng tài chính nhận được email của CEO yêu cầu chuyển khoản, thì người nhận yêu cầu sẽ phải tuân theo chính sách của công ty bao gồm gửi email đến một danh sách định sẵn để được phê duyệt điện tử cùng xác nhận qua điện thoại. Độ lớn của khoản chi tiêu sẽ quyết định ai được phê duyệt hay đồng phê duyệt và sẽ dựa trên chính sách rủi ro của công ty, hay nói cách khác là công ty sẽ sẵn sàng chấp nhận với các tổn thất được xác định cụ thể khi thực hiện phê duyệt khoản chi tiêu đó.
Nếu là một thành viên trong nhóm công nghệ thông tin, nên giải thích cho bên tài chính về cách thức tấn công BEC và lừa đảo, đưa ra các ví dụ thực tế về những vụ tấn công gần đây và bàn về cách thức công ty có thể hạn chế được những vụ tấn công này. Dựa vào những ví dụ đó, bên tài chính nên lưu ý đến chính sách của mình cùng với những quan ngại về tấn công BEC. Điều này cũng có nghĩa là, chủ tịch hội đồng quản trị, CEO hay chủ tịch công ty không thể toàn quyền quyết định những khoản chi tiêu lớn mà phải dựa trên chính sách rủi ro của công ty.
VỀ CON NGƯỜI
Tất cả nhân viên của công ty đều phải được đào tạo để hiểu về tấn công mạng sẽ diễn ra như thế nào, nên làm gì và không nên làm gì và việc đào tạo này nên được diễn ra thường xuyên khi bối cảnh an ninh mạng hiện nay đang thay đổi từng ngày và diễn biến rất phức tạp.
Nhân viên tài chính hay bất kì ai được ủy quyền để giải ngân trong bất kì hình thức nào, nên được đào tạo về tấn công BEC và tấn công giả mạo.
Nhấn mạnh rằng phần lớn những cuộc tấn công này thường diễn ra thông qua giả mạo email của những lãnh đạo cấp cao. Nội dung email thường là những tin khẩn và đôi khi được gửi gần giờ nghỉ của công ty và yêu cầu chuyển tiền ngay lập tức. Với việc tổ chức đào tạo và yêu cầu nhân viên tuân thủ chính sách ủy quyền chi tiêu, thì công ty có thể ngăn chặn được những cuộc tấn công BEC.
Nhiều công ty đã mua bảo hiểm để bù đắp cho những tổn thất của các cuộc tấn công BEC, nhưng không có tổ chức nào đảm bảo rằng bảo hiểm sẽ chi trả. Ví dụ, công ty thương mại Virty Financial Inc. đã mất 6,9 triệu USD trong một cuộc tấn công BEC, nhưng bên bảo hiểm của họ, công ty Axis Insurance đã từ chối đền bù với lí do “việc truy cập trái phép vào hệ thống máy tính của Virtu không phải là nguyên nhân trực tiếp gây ra thiệt hại, nguyên nhân chính là do các hành động riêng biệt và mang tính cá nhân của nhân viên đã tin rằng email giả mạo là đúng”. Khi đó, Virtu Financial Inc. đã khiếu nại Axis Insurance với cáo buộc vi phạm hợp đồng khi họ từ chối đền bù cho cuộc tấn công này.
VỀ CÔNG NGHỆ
Công nghệ an toàn mạng tiên tiến thế hệ mới có thể hỗ trợ ngăn chặn bất kỳ email nguy hiểm, bao gồm: spam, lừa đảo, tấn công BEC, tấn công theo dõi, các mối đe dọa APT, hay những lỗ hổng zero-day trước khi người dùng cuối nhận ra. Các loại giải pháp hiện nay bao gồm:
– Công cụ chống thư rác để chặn các liên lạc độc hại bằng việc sử dụng bộ lọc chống thư rác và dựa trên độ tin tưởng. Công cụ chống lừa đảo để nhận biết những đường dẫn, URL độc hại và ngăn chặn mọi loại hình lừa đảo trước khi đến với người dùng cuối.
– Công cụ chống giả mạo để ngăn chặn các cuộc tấn công không sử dụng các phần mềm độc hại như giả mạo tên miền trông giống nhau và tên hiển thị email.
– Công nghệ chống xâm nhập để nhận biết những nội dung độc hại được ẩn đi bằng cách giải nén thành các đơn vị nhỏ hơn (tập tin hay URL) sau đó sử dụng nhiều công nghệ kiểm tra khác để tìm kiếm.
– Trí tuệ nhân tạo và xử lí ngôn ngữ tự nhiên để kiểm tra những sai lệch về văn phong và nội dung, ví dụ như nhận biết một lối văn khác thường, các cụm từ mang hàm ý độc hại, IP lạ, vị trí địa lí, thời gian,…
– Dò tìm để ngăn chặn những mối nguy phức tạp và những cuộc tấn công zero-day.
– Phân tích email dành cho người dùng cuối để nhận biết được những email khả nghi trước khi thực hiện hành động.
– Hỗ trợ người dùng cuối gắn nhãn cho các email bằng biểu ngữ có thể tùy chỉnh dựa trên cơ sở chính sách và luật lệ để cung cấp cho người dùng cuối những thông tin bổ sung theo ngữ cảnh và nâng cao nhận thức.
Trong khi tin tặc có thể lấy quyền truy cập vào những email hợp pháp và nỗ lực thâm nhập vào sâu bên trong hệ thống, thì những giải pháp nêu trên đều có thể điều tra và ngăn chặn tấn công giả mạo và chiếm đoạt tài sản.
