E-postsvindel med revidert faktura

Uventede e-poster, spesielt de som gjelder fakturaer, betalinger eller viktige forretningssaker, bør alltid behandles med forsiktighet. Nettkriminelle kamuflerer ofte phishing-angrep som legitim bedriftskommunikasjon for å lure mottakere til å avsløre sensitiv informasjon. E-postkampanjen «Revidert faktura» er en slik trussel.

Disse e-postene er ikke knyttet til noen legitime selskaper, organisasjoner eller enheter. I stedet er de en del av en operasjon for innsamling av legitimasjon som er utformet for å stjele legitimasjon fra bedrifts-e-postkontoer og potensielt kompromittere hele forretningsmiljøer.

Inne i den falske meldingen

Phishing-e-poster kommer vanligvis med emnelinjen:

'Økonomistyringspolicy_v4'

Meldingen hevder å komme fra en enhet kalt «Portefølje- og økonomistyring» og informerer mottakerne om at en revidert faktura for et uspesifisert prosjekt er tilgjengelig. Mottakerne blir bedt om å bekrefte mottak av dokumentet, noe som gir kommunikasjonen en følelse av legitimitet og hastverk.

E-posten inneholder et element merket «Approve_Operational Tender Invoice PDF», som fungerer som det primære lokkemiddelet. Ved å klikke på det omdirigeres brukere til et ondsinnet nettsted i stedet for å åpne en ekte faktura.

Portalen for falske dokumenter

Den innebygde lenken fører til en phishing-side som ligger på domenet «dancing-froyo-1eba9c.netlify.app». Nettstedet er nøye utformet for å ligne en Adobe Acrobat-dokumentleser og viser en forfalsket fil kalt «Approve_Operational_Policy_v4.pdf».

Deretter vises et popup-vindu som hevder at dokumentet er låst og at identitetsverifisering kreves før tilgang kan gis. Offeret blir bedt om å oppgi:

• En bedrifts-e-postadresse merket som «Bedriftsidentitet (e-post)»
• Det tilhørende e-postpassordet

Ingen dokumenter låses faktisk opp. Sidens eneste formål er å samle inn påloggingsinformasjon og overføre den direkte til angriperne som driver kampanjen.

Hvorfor stjålne bedriftslegitimasjoner er så farlige

Kompromitterte bedrifts-e-postkontoer kan gi nettkriminelle mye mer enn tilgang til én enkelt innboks. Når angripere har fått gyldig legitimasjon, kan de få tilgang til forretningssystemer, intern kommunikasjon, skylagringsplattformer og delte ressurser.

Stjålne kontoer misbrukes ofte til å:

• Lansere ytterligere phishing-kampanjer mot kolleger og forretningspartnere
• Tilgang til konfidensielle dokumenter og sensitiv bedriftsinformasjon
• Utføre angrep på e-post som kompromitterer bedrifter
• Utgi deg for å være ansatte og ledere
• Utvid inntrengingen på tvers av organisasjonens nettverk

Tyveri av et enkelt sett med legitimasjon kan derfor eskalere til en betydelig sikkerhetshendelse, som potensielt kan føre til økonomiske tap, datainnbrudd og omdømmeskade.

Risikoer for skadelig programvare utover tyveri av legitimasjon

Selv om hovedmålet med Revised Invoice-svindelen er innhøsting av legitimasjon, brukes kampanjer av denne typen også ofte til å distribuere skadelig programvare.

Trusselaktører bruker jevnlig spam-e-poster for å levere skadelige filer eller lenker. Vedlegg kan vises som PDF-dokumenter, regneark, komprimerte arkiver, kjørbare programmer eller skript. I noen tilfeller starter installasjonsprosessen for skadelig programvare det å åpne filen eller aktivere funksjoner som makroer.

På samme måte kan lenker innebygd i phishing-e-poster omdirigere brukere til nettsteder som automatisk laster ned skadelig programvare eller overtaler besøkende til å kjøre skadelige filer manuelt. De fleste infeksjoner krever en viss grad av brukermedvirkning, noe som gjør årvåkenhet til en kritisk forsvarsmekanisme.

Slik svarer du på e-posten med revidert faktura

Mottakere som mottar denne meldingen, bør unngå å bruke lenker, vedlegg eller forespørsler i den. Siden verken den antatte enheten for «Portefølje- og økonomistyring» eller noen legitim organisasjon er knyttet til denne kampanjen, bør e-posten anses som fullstendig svindel.

Det sikreste tiltaket er å slette meldingen umiddelbart. Personer som allerede har oppgitt påloggingsinformasjonen sin på det falske nettstedet, bør endre passordene sine uten forsinkelse og varsle organisasjonens informasjonssikkerhets- eller IT-avdeling, slik at passende inneslutningstiltak kan iverksettes.

Avsluttende tanker

E-postsvindelen med reviderte fakturaer er en nøye utformet phishing-kampanje som utnytter rutinemessige forretningsprosesser for å stjele bedriftens e-postadresse. Ved å utgi seg for å være et varsel om revidert faktura og lede ofrene til en portal for forfalskede dokumenter, forsøker angriperne å få uautorisert tilgang til bedriftskontoer og potensielt kompromittere hele organisasjoner.

Å opprettholde et sunt nivå av skepsis til uventede e-poster, bekrefte ektheten av fakturarelatert kommunikasjon og unngå uønskede påloggingsforespørsler er fortsatt viktige praksiser for å forhindre phishing-angrep og beskytte sensitiv bedriftsinformasjon.