BEC attacks: Most victims aren’t using multi-factor authentication – apply it now and stay safe

There has been a big rise in Business Email Compromise (BEC) attacks – and most victims work at organisations which weren't using multi-factor authentication (MFA) to secure their accounts.

Os ataques BEC são uma das formas mais lucrativas de crime cibernético: de acordo com o FBI, o total combinado perdido é de mais de US$ 43 bilhões e aumentando, com ataques relatados em pelo menos 177 países.

These attacks are relatively simple for cyber criminals to carry out – all they need is access to an email account and some patience as they try to trick victims into making financial transfers under false presences. This commonly involves sending messages to employees, purportedly from their boss or a colleague, that suggest a payment — often very large — must be made quickly in order to secure an important business deal.

Ataques BEC mais avançados invadem uma conta da empresa e usam um endereço de e-mail legítimo para fazer a solicitação de pagamento. 

It's even been known for scammers to monitor inboxes for long periods of time, only choosing to strike when a real business transaction is about to be made — at which point they cut in and direct the payment to their own account.

SEE: The biggest cyber-crime threat is also the one that nobody wants to talk about

Com o dinheiro a ser feito dessa maneira, os criminosos cibernéticos estão cada vez mais se voltando para as campanhas BEC e as empresas estão sendo vítimas. De acordo com analistas de segurança cibernética da Lobo Ártico, o número de ataques BEC aos quais eles responderam dobrou entre janeiro-março e abril-junho – e esses ataques representaram mais de um terço de todos os incidentes investigados.

There was a common theme among many of the victims: according to incident responders, 80% of the organisations which fell victim to BEC attacks didn't have MFA in place.

Multi-factor authentication provides an extra layer of security for email accounts and cloud application suites, requiring the user to verify that it really was them who logged into the account, helping to protect against unauthorised intrusions — even if the attacker has the correct username and password.

Organisations that ignore MFA are leaving themselves open to BEC campaigns and other cyber attacks – despite repeated recommendations from cybersecurity agencies that it should be applied. So why aren't they using it?

“A MFA requer planejamento e coordenação cuidadosos para implementar com sucesso, garantindo que as organizações possam continuar operando sem interrupções. Como os usuários precisam de treinamento sobre como usar o sistema MFA, isso pode ser difícil para algumas organizações”, disse Adrian Korn, gerente de pesquisa de inteligência de ameaças do Arctic Wolf Labs, ao ZDNET. 

“Além disso, configurar e testar uma nova implantação de MFA em uma organização pode sobrecarregar os departamentos de TI já sobrecarregados”, acrescentou. 

Também: O futuro assustador da internet: como a tecnologia de amanhã representará ameaças ainda maiores à segurança cibernética

Despite these potential restraints, applying MFA to all user accounts is one of the most significant things organisations can do to help protect their employees and their network from cyber attacks – if they're set up correctly.

“As organizações devem planejar suas implantações de MFA com antecedência para levar em conta os problemas técnicos que podem encontrar. Além disso, as organizações devem dedicar algum tempo para garantir que as configurações de MFA sejam testadas antes do horário nobre e que os usuários sejam bem treinados sobre como usar a nova plataforma de MFA de sua escolha”, disse Korn. 

But while MFA does help to prevent cyber attacks, it isn't infallible and determined cyber criminals are finding ways to bypass it.  

With BEC attacks using social engineering to trick people into thinking they're doing right thing, it's also important for organisations to train their employees to detect when a request — even if it comes from a legitimate account — could be suspicious. 

“Os usuários devem ser treinados para reconhecer solicitações financeiras suspeitas. Se algo parecer estranho, os usuários devem prestar atenção a esse instinto e perguntar mais. Solicitações financeiras urgentes devem ser validadas por meios adicionais antes de finalizar grandes transações”, disse Korn. 

MAIS SOBRE SEGURANÇA CIBERNÉTICA