Muutettuun laskuun liittyvä sähköpostihuijaus

Odottamattomiin sähköposteihin, erityisesti laskuja, maksuja tai kiireellisiä liiketoiminta-asioita koskeviin sähköposteihin, tulee aina suhtautua varoen. Kyberrikolliset naamioivat usein tietojenkalasteluhyökkäyksiä laillisiksi yritysviesteiksi huijatakseen vastaanottajia paljastamaan arkaluonteisia tietoja. "Muokattu lasku" -sähköpostikampanja on yksi tällainen uhka.

Näitä sähköposteja ei liity mihinkään lailliseen yritykseen, organisaatioon tai yhteisöön. Sen sijaan ne ovat osa tunnistetietojen keruuoperaatiota, jonka tarkoituksena on varastaa yrityksen sähköpostitilien tunnistetiedot ja mahdollisesti vaarantaa kokonaisia liiketoimintaympäristöjä.

Vilpillisen viestin sisällä

Tietojenkalasteluviestit saapuvat yleensä otsikkorivillä:

'Taloushallinnon_käytäntö_v4'

Viestissä väitetään olevan alkuperä 'Portfolio and Financial Management' -nimisestä yksiköstä ja ilmoitetaan vastaanottajille, että määrittelemättömälle projektille on saatavilla tarkistettu lasku. Vastaanottajia pyydetään vahvistamaan asiakirjan vastaanottaminen, mikä lisää viestinnän oikeutusta ja kiireellisyyttä.

Sähköposti sisältää kohteen nimeltä 'Approve_Operational Tender Invoice PDF', joka toimii ensisijaisena houkuttimena. Sen napsauttaminen ohjaa käyttäjät haitalliselle verkkosivustolle aidon laskun avaamisen sijaan.

Väärennettyjen asiakirjojen portaali

Upotettu linkki johtaa tietojenkalastelusivulle, jota ylläpidetään verkkotunnuksessa 'dancing-froyo-1eba9c.netlify.app'. Sivusto on suunniteltu huolellisesti muistuttamaan Adobe Acrobat -asiakirjankatseluohjelmaa ja näyttää väärennetyn tiedoston nimeltä 'Approve_Operational_Policy_v4.pdf'.

Tämän jälkeen näkyviin tulee ponnahdusikkuna, jossa väitetään, että asiakirja on lukittu ja että henkilöllisyys on vahvistettava ennen käyttöoikeuden myöntämistä. Uhria pyydetään antamaan:

• Yrityksen sähköpostiosoite, jossa on merkintä 'Yritystunnus (sähköpostiosoite)'
• Vastaava sähköpostin salasana

Mitään dokumenttia ei varsinaisesti avata. Sivun ainoa tarkoitus on kerätä kirjautumistiedot ja lähettää ne suoraan kampanjaa ylläpitäville hyökkääjille.

Miksi varastetut yritystunnukset ovat niin vaarallisia

Vaarantuneet yrityssähköpostitilit voivat tarjota kyberrikollisille paljon enemmän kuin vain yhden postilaatikon käyttöoikeuden. Kun hyökkääjät saavat haltuunsa voimassa olevat tunnistetiedot, he voivat päästä käsiksi liiketoimintajärjestelmiin, sisäiseen viestintään, pilvitallennustiloihin ja jaettuihin resursseihin.

Varastettuja tilejä käytetään usein väärin seuraaviin tarkoituksiin:

• Käynnistä lisää tietojenkalastelukampanjoita työtovereita ja liikekumppaneita vastaan
• Käytä luottamuksellisia asiakirjoja ja arkaluonteisia yritystietoja
• Liiketoimintasähköpostien vaarantamishyökkäykset
• Tekiydy työntekijöiksi ja johtajiksi
• Laajenna tunkeutumista organisaation verkkoon

Yhdenkin tunnistetietojen varastaminen voi siksi kärjistyä merkittäväksi tietoturvahäiriöksi, joka voi johtaa taloudellisiin menetyksiin, tietomurtoihin ja mainevahinkoihin.

Haittaohjelmien riskit valtakirjojen varkauden lisäksi

Vaikka Revised Invoice -huijauksen ensisijainen tavoite on tunnistetietojen kerääminen, tämänkaltaisia kampanjoita käytetään yleisesti myös haittaohjelmien levittämiseen.

Uhkatoimijat käyttävät säännöllisesti roskapostia haitallisten tiedostojen tai linkkien toimittamiseen. Liitteet voivat olla PDF-dokumentteja, laskentataulukoita, pakattuja arkistoja, suoritettavia ohjelmia tai komentosarjoja. Joissakin tapauksissa tiedoston avaaminen tai ominaisuuksien, kuten makrojen, käyttöönotto käynnistää haittaohjelman asennusprosessin.

Samoin tietojenkalasteluviesteihin upotetut linkit voivat ohjata käyttäjiä verkkosivustoille, jotka lataavat automaattisesti haittaohjelmia tai suostuttelevat kävijöitä suorittamaan haitallisia tiedostoja manuaalisesti. Useimmat tartunnat vaativat jonkin verran käyttäjän toimia, joten valppaus on kriittinen puolustusmekanismi.

Kuinka vastata muutettuun laskusähköpostiin

Tämän viestin vastaanottajien tulisi välttää vuorovaikutusta viestissä olevien linkkien, liitteiden tai kehotteiden kanssa. Koska väitetty "Portfolio and Financial Management" -yksikkö tai mikään muukaan laillinen organisaatio ei ole yhteydessä tähän kampanjaan, sähköpostia tulisi pitää täysin vilpillisenä.

Turvallisin toimintatapa on poistaa viesti välittömästi. Henkilöiden, jotka ovat jo syöttäneet tunnistetietonsa väärennetylle verkkosivustolle, tulee vaihtaa salasanansa viipymättä ja ilmoittaa organisaationsa tietoturva- tai IT-osastolle, jotta asianmukaiset eristämistoimenpiteet voidaan toteuttaa.

Loppuajatukset

Tarkistetun laskun sähköpostihuijaus on huolellisesti suunniteltu tietojenkalastelukampanja, joka hyödyntää rutiininomaisia liiketoimintaprosesseja varastaakseen yrityksen sähköpostiosoitteet. Naamioitumalla tarkistetuksi laskuilmoitukseksi ja ohjaamalla uhrit väärennettyjen asiakirjojen portaaliin hyökkääjät yrittävät saada luvattoman pääsyn yritysten tileihin ja mahdollisesti vaarantaa kokonaisia organisaatioita.

Terveen skeptisyyden säilyttäminen odottamattomia sähköposteja kohtaan, laskuihin liittyvän viestinnän aitouden tarkistaminen ja pyytämättömien kirjautumispyyntöjen välttäminen ovat edelleen olennaisia käytäntöjä tietojenkalasteluhyökkäysten estämiseksi ja arkaluonteisten yritystietojen suojaamiseksi.