BEC attacks: Most victims aren’t using multi-factor authentication – apply it now and stay safe

There has been a big rise in Business Email Compromise (BEC) attacks – and most victims work at organisations which weren't using multi-factor authentication (MFA) to secure their accounts.

BEC saldırıları siber suçların en kazançlı biçimlerinden biridir: FBI'a göre toplam kayıp 43 milyar doların üzerindedir ve en az 177 ülkede bildirilen saldırılarla bu sayı artmaya devam etmektedir.

These attacks are relatively simple for cyber criminals to carry out – all they need is access to an email account and some patience as they try to trick victims into making financial transfers under false presences. This commonly involves sending messages to employees, purportedly from their boss or a colleague, that suggest a payment — often very large — must be made quickly in order to secure an important business deal.

Daha gelişmiş BEC saldırıları, bir şirket hesabını hackler ve ödeme talebini yapmak için meşru bir e-posta adresi kullanır. 

It's even been known for scammers to monitor inboxes for long periods of time, only choosing to strike when a real business transaction is about to be made — at which point they cut in and direct the payment to their own account.

SEE: The biggest cyber-crime threat is also the one that nobody wants to talk about

Bu şekilde kazanılacak para ile siber suçlular giderek BEC kampanyalarına yöneliyor ve işletmeler mağdur oluyor. Siber güvenlik analistlerine göre Arktik KurtOcak-Mart ve Nisan-Haziran ayları arasında yanıt verdikleri BEC saldırılarının sayısı iki katına çıktı ve bu saldırılar araştırılan tüm olayların üçte birinden fazlasını oluşturuyor.

There was a common theme among many of the victims: according to incident responders, 80% of the organisations which fell victim to BEC attacks didn't have MFA in place.

Multi-factor authentication provides an extra layer of security for email accounts and cloud application suites, requiring the user to verify that it really was them who logged into the account, helping to protect against unauthorised intrusions — even if the attacker has the correct username and password.

Organisations that ignore MFA are leaving themselves open to BEC campaigns and other cyber attacks – despite repeated recommendations from cybersecurity agencies that it should be applied. So why aren't they using it?

“MFA, başarılı bir şekilde uygulamak için dikkatli planlama ve koordinasyon gerektirir ve kuruluşların kesinti olmadan çalışmaya devam edebilmesini sağlar. Arctic Wolf Labs tehdit istihbarat araştırması müdürü Adrian Korn, ZDNET'e verdiği demeçte, kullanıcılar MFA sisteminin nasıl kullanılacağı konusunda eğitime ihtiyaç duyduğundan, bu bazı kuruluşlar için zor olabilir. 

"Ayrıca, bir kuruluş genelinde yeni bir MFA dağıtımını yapılandırmak ve test etmek, zaten gergin olan BT departmanlarına ağır bir yük getirebilir" diye ekledi. 

Ayrıca: İnternetin korkutucu geleceği: Yarının teknolojisi nasıl daha da büyük siber güvenlik tehditleri oluşturacak?

Despite these potential restraints, applying MFA to all user accounts is one of the most significant things organisations can do to help protect their employees and their network from cyber attacks – if they're set up correctly.

"Kuruluşlar, karşılaşabilecekleri teknik aksaklıkları hesaba katmak için MFA dağıtımlarını önceden planlamalıdır. Ayrıca, kuruluşların MFA yapılandırmalarının prime time'dan önce test edilmesini ve kullanıcıların yeni MFA tercih edilen platformunu nasıl kullanacakları konusunda iyi eğitim almalarını sağlamak için zaman ayırması gerekiyor" dedi. 

But while MFA does help to prevent cyber attacks, it isn't infallible and determined cyber criminals are finding ways to bypass it.  

With BEC attacks using social engineering to trick people into thinking they're doing right thing, it's also important for organisations to train their employees to detect when a request — even if it comes from a legitimate account — could be suspicious. 

“Kullanıcılar şüpheli finansal talepleri tanımak için eğitilmelidir. Bir şeyler ters geliyorsa, kullanıcılar bu içgüdüye kulak vermeli ve daha fazla araştırma yapmalıdır. Korn, “Acil finansal talepler, büyük işlemleri tamamlamadan önce ek yollarla doğrulanmalıdır” dedi. 

CYBERSECURITY HAKKINDA DAHA FAZLA BİLGİ