Банковский обман или тонкое искусство VEC-атаки: 36 миллионов долларов на волоске от кражи

Недавно компанией Abnormal Security была обнаружена и предотвращена так называемая «VEC-атака», целью которой было изменить банковские реквизиты неназванной организации в сфере недвижимости, чтобы заставить страховую компанию выплатить 36 миллионов долларов прямо на счёт злоумышленника.

«Если бы эта атака осталась нераскрытой, злоумышленник мог бы продолжить обманывать многие другие компании, — сказал Майк Бриттон, директор по информационным технологиям Abnormal Security.

Бриттон подробно объяснил схему, которой воспользовались в этой атаке. Злоумышленники с помощью простого фишинга заполучили учётные данные от почтового ящика компании, занимающейся недвижимостью. Затем хакеры написали правдоподобное письмо в страховую компанию, с которой вышеупомянутая компания, занимающаяся недвижимостью, часто ведёт дела.

К письму злоумышленники прикрепили ещё неоплаченный счёт на 36 миллионов долларов, однако заменили банковские реквизиты компании на свои собственные. Так как все остальные документы уже были оформлены, страховая могла оплатить этот счёт без лишних сомнений и пополнить кошелёк мошенников на баснословную сумму. К счастью, взлом почты был вовремя обнаружен, и к расследованию оперативно привлекли вышеупомянутую Abnormal Security.

Бриттон также отметил, что сделка на сумму 36 миллионов долларов в сфере коммерческой недвижимости не является чем-то необычным и добавил, что насторожить в данной атаке могло, собственно, только изменение банковского счёта.

Мика Аалто, соучредитель и генеральный директор компании Hoxhunt, сказал, что любые организации, а в особенности — работающие с финансами, должны быть крайне бдительны. Имея даже небольшие сомнения или подозрения в намерениях отправителя, следует позвонить по телефону человеку, предположительно направившему запрос, или же сразу его руководителю.

Хакеры обычно сильно ограничены в средствах взаимодействия. Поэтому если доступ к электронной почте они заполучить смогут, то с переадресацией телефонных звонков уже вряд ли будут заморачиваться. «Простая проверка финансовых запросов или запросов данных через альтернативный безопасный канал может сэкономить компаниям огромные суммы денег», — заявил директор Hoxhunt.