Wprowadzenie do problemu / definicja
Duże przedsiębiorstwa coraz częściej stają się celem zaawansowanych kampanii socjotechnicznych, w których cyberprzestępcy podszywają się pod kadrę zarządzającą oraz zewnętrznych doradców rzekomo zaangażowanych w poufne procesy fuzji i przejęć. Tego typu działania stanowią rozwinięcie klasycznych oszustw Business Email Compromise, łącząc elementy spear phishingu, vishingu oraz fraudów płatniczych.
Celem atakujących jest wywołanie presji i skłonienie wybranej osoby do wykonania wysokokwotowego przelewu pod pozorem strategicznej, tajnej i pilnej operacji biznesowej. Wiarygodność scenariusza budowana jest na bazie realnych informacji o strukturze firmy, historii akwizycji oraz rolach pracowników.
W skrócie
Opisany schemat, określany jako „Phantom Deal”, był wymierzony w duże organizacje i opierał się na podszywaniu pod menedżerów oraz doradców obsługujących rzekomą transakcję przejęcia. Atakujący wykorzystywali publicznie dostępne dane korporacyjne, aby przygotować spójny i przekonujący scenariusz działania.
Komunikacja była celowo przenoszona poza firmowe kanały, między innymi do prywatnej poczty elektronicznej i komunikatorów, co miało ograniczyć szanse wykrycia incydentu przez narzędzia bezpieczeństwa. Atak ostatecznie nie zakończył się sukcesem dzięki czujności pracownika, który zweryfikował tożsamość rozmówcy i zauważył niespójności.
Kontekst / historia
Oszustwa wykorzystujące motyw fuzji i przejęć nie są całkowicie nowe, jednak obecnie nabierają bardziej profesjonalnego i wieloetapowego charakteru. Przestępcy nie ograniczają się do pojedynczej wiadomości z prośbą o pilny przelew, lecz tworzą rozbudowaną narrację osadzoną w realiach korporacyjnych, gdzie poufność i presja czasu są czymś naturalnym.
W analizowanym przypadku celem był pracownik działu prawnego dużej organizacji. Napastnicy przeprowadzili wcześniejszy rekonesans, identyfikując osobę, która mogła wiarygodnie uczestniczyć w procesie przejęcia. Następnie wykorzystali prawdziwe wątki z historii spółek powiązanych, by zwiększyć autentyczność kontaktu i ograniczyć podejrzenia ofiary.
Analiza techniczna
Technicznie kampania była przykładem wysoko spersonalizowanego ataku socjotechnicznego prowadzonego wielokanałowo. Pierwszym etapem był rekonesans open source, obejmujący analizę struktury organizacyjnej firmy, stanowisk, wcześniejszych przejęć, relacji między spółkami oraz publicznych informacji o pracownikach.
Następnie atakujący nawiązali kontakt, wykorzystując tożsamość przypominającą prawdziwego członka kierownictwa. Dodatkowe elementy, takie jak odpowiedni numer telefonu czy zgodność kontekstu biznesowego z historią firmy, miały uwiarygodnić przekaz i skłonić ofiarę do podjęcia rozmowy.
Kolejnym krokiem było przeniesienie komunikacji poza infrastrukturę organizacji. To szczególnie istotny aspekt taktyczny, ponieważ rozmowy prowadzone przez prywatne skrzynki i komunikatory utrudniają działanie systemów DLP, monitoringu SOC, archiwizacji oraz korelacji zdarzeń bezpieczeństwa.
Atakujący dostarczyli także dokumenty mające wzmacniać pozory legalności, w tym umowę o zachowaniu poufności z brandingiem znanej firmy doradczej. Taki dokument działa nie tylko jako element formalny, lecz również jako narzędzie psychologiczne, które izoluje ofiarę i zniechęca ją do konsultacji z innymi pracownikami.
Finałem była próba wymuszenia przelewu na określoną kwotę, rzekomo niezbędnego do zamknięcia transakcji. O wykryciu oszustwa przesądziła ostatecznie weryfikacja głosowa, gdy pracownik zauważył, że głos osoby podszywającej się pod menedżera nie odpowiada rzeczywistości.
Konsekwencje / ryzyko
Ryzyko związane z atakami BEC opartymi na fikcyjnych transakcjach M&A jest szczególnie wysokie w dużych przedsiębiorstwach, które operują na znacznych budżetach i funkcjonują w złożonych strukturach właścicielskich. Tego rodzaju kampanie wykorzystują naturalną poufność procesów korporacyjnych, co osłabia standardowe mechanizmy konsultacji i niezależnej weryfikacji.
Dodatkowym problemem jest powoływanie się na autorytet zarządu, kancelarii prawnych, audytorów i zewnętrznych doradców. Taki kontekst zwiększa podatność ofiary na podporządkowanie się instrukcjom, zwłaszcza gdy żądaniu towarzyszy presja czasu i sugestia, że sprawa ma strategiczne znaczenie dla spółki.
Nawet jeśli incydent nie kończy się wykonaniem przelewu, organizacja może ponieść inne szkody. Przestępcy mogą zebrać informacje o wewnętrznych procedurach, modelach akceptacji płatności, relacjach służbowych oraz podatności pracowników, co ułatwia przygotowanie kolejnych, jeszcze bardziej przekonujących prób ataku.
Rekomendacje
Organizacje powinny uwzględnić scenariusze fałszywych transakcji M&A w swoich modelach zagrożeń i procedurach antyfraudowych. Kluczowe znaczenie ma egzekwowanie zasad niezależnie od tego, czy dyspozycja pochodzi rzekomo od członka zarządu, doradcy prawnego czy konsultanta transakcyjnego.
- Każda niestandardowa dyspozycja finansowa powinna być obowiązkowo potwierdzana poza kanałem, którym została przekazana.
- Wysokokwotowe przelewy powinny wymagać wieloosobowej akceptacji i formalnego udokumentowania podstawy biznesowej.
- Żaden pojedynczy pracownik nie powinien samodzielnie inicjować i zatwierdzać płatności związanych z nietypową, poufną operacją.
- Szkolenia awareness powinny obejmować scenariusze podszywania się pod zarząd, kancelarie, audytorów i doradców M&A.
- Zespoły prawne, finansowe, treasury, controlling i biura zarządu powinny być objęte dedykowanymi ćwiczeniami i testami socjotechnicznymi.
Warto również monitorować typowe sygnały ostrzegawcze, które często pojawiają się w takich kampaniach.
- Próba przeniesienia rozmowy na prywatny e-mail lub komunikator.
- Nacisk na zachowanie pełnej tajemnicy przed współpracownikami.
- Prośba o ominięcie standardowej ścieżki akceptacji.
- Nietypowy beneficjent przelewu lub niejasne uzasadnienie płatności.
- Dokumenty wyglądające profesjonalnie, ale zawierające niespójności organizacyjne.
Skuteczna obrona wymaga ścisłej współpracy zespołów bezpieczeństwa z działami finansowymi i prawnymi. Nowoczesne oszustwa BEC coraz częściej wykraczają poza pocztę elektroniczną, dlatego procedury antyfraudowe muszą być zintegrowane z cyberbezpieczeństwem i obejmować również komunikatory oraz kanały głosowe.
Podsumowanie
Fałszywe transakcje fuzji i przejęć pokazują, że współczesna socjotechnika coraz dokładniej imituje realne procesy korporacyjne. Zamiast prostych przynęt przestępcy wykorzystują szczegółowy rekonesans, wiarygodne podszywanie się pod osoby decyzyjne oraz presję wynikającą z rzekomej poufności strategicznej operacji.
Najskuteczniejszą ochroną pozostają twarde procedury weryfikacji, separacja obowiązków, regularne szkolenia dla grup wysokiego ryzyka oraz zasada, że żadna pilna i tajna prośba finansowa nie może omijać ustalonych mechanizmów kontroli.
Źródła
- Dark Reading – Large Enterprises Targeted in Fake Merger & Acquisition Scams
https://www.darkreading.com/cyberattacks-data-breaches/large-enterprises-fake-merger-acquisition-scams