Basque Cybersecurity Centre erakundeak euskal enpresei zuzendutako email bidezko iruzur kanpaina berri baten inguruan ohartarazi du

Eraso mota horrek pertsona baten identitatea faltsutzen du eta 8.000 milioi euroko galerak ere eragiten ditu mundu osoan

Irailetik hona detektatutako bigarren kanpaina da.

Zibersegurtasuneko Euskal Zentroak email bidezko hainbat iruzur kanpaina identifikatu ditu berriki, euskal enpresei eraso ekonomikoak egitera bideratuak. Azken hilabeteetan detektatutako horrelako bigarren kanpaina da. Aurrekoa irailean izan zen. Ertzaintzak azaroan ohartarazi zuen 40 kasu detektatu direla Euskadin, 2 milioi euroko galerak ekarri dizkietenak euskal enpresei.

Business Email Compromise deituriko eraso horiek 160.000 euroko batez besteko galerak ere ekarri ahal dizkiete enpresei. Badirudi horrelako iruzurrek hazten jarraituko dutela (%1.300ko hazkundea izan dute 2015etik eta %476koa azken urtean Proofpoint-ek duela gutxi eginiko ikerlan baten arabera), eta gaur egun tamaina guztietako enpresei eragiten diete. Aurten, Trend Micro erakundearen estimazioen arabera, sortutako galerak 8.000 milioi euro ingurukoak izango dira mundu osoan.

Eraso mota honen oinarria zera da: email bidez pertsona baten identitatea faltsutzen da beste bat engainatzeko, iruzurgileak kontrolatutako kontu batera transferentzia ekonomiko bat egin dezan. Phishing motako erasoetan ez bezala, email bidezko erasoak biktima bakoitzarentzat bereziki diseinatuta daude eta posta elektroniko profesionalen itxura dute.

Kasu gehienetan, zibergaizkileek enpresen azken albisteak eta langileen sare sozialak aztertzen dituzte, iruzurra ahalik eta sinesgarriena eta pertsonalizatuena izan dadin. Erasoak posta elektronikoz egiten dira eta, aurretik egindako azterketa lanari esker, spam iragazkiak eta bestelako babesak gainditzen dituzte. Onura ekonomikoaz gain, zibergaizkileen beste helburuetako bat zera da: enpresari ekonomikoki zein ospe aldetik arazoak ekar dakizkiokeen informazio konfidentziala lortzea.

Zibererasoak prebenitu edota horiei aurre egiteko, funtsezkoa da langileak kontzientziatzea, gai izan daitezen ohiz kanpoko eskaerak identifikatzeko, hala nola fakturekin edo bankuko kontuekin erlazionatutako aldaketak eskatzen dituzten mezuak. Era berean, gomendagarria da enpresek beren langileei eskatzea transferentzia elektronikoen eskaerak beste bide batzuetatik balioztatu ditzatela; telefonoz, esaterako, email faltsuak saihesteko. Gainera, interesgarria izango litzateke neurri teknikoak ezartzea, hala nola SPF, DKIM edo DMARC delakoak, eta postara sartzeko segurtasun neurri sendoak.

Iruzurra oinarrizko 5 modu hauetan ematen da normalean:

• CEO iruzurra. Zibergaizkileek email bat bidaltzen diote, itxuraz enpresako arduradun baten izenean, transferentziak egiteko eskumena daukan langile bati. Horren bidez, zibergaizkileen kontrolpean dagoen kontu batera funtsak bidaltzeko agindua ematen zaio.
• Faktura faltsuaren iruzurra. Zibergaizkileek, erabiltzaile baten kontua konprometitu ostean, postan bilatzen dute iraungitzear dagoen faktura bat, gero finantza sailarekin harremanetan jarri eta ordainketa kontua beste batengatik alda dezaten eskatzeko.
• Abokatuaren identitatea faltsutzea. Zibergaizkilea enpresa baten abokatu taldearen izenean aritzen da eta gatazka bat konpondu edo iraungitako faktura bat ordaintzeko transferentzia bat eskatzen du.
• Datu lapurreta. BEC iruzur mota hau da zuzeneko funts transferentzia bat eskatzen ez duen bakarra. Datuak lapurtzea da xede nagusia, exekutibo baten posta elektronikoa konprometituz eta informazio konfidentziala bidaltzeko eskatuz.

Euskadi segurtasun arloan erreferente izan dadin eta mehatxu hauen aurrean kontzientziatuta egon gaitezen, Zibersegurtasuneko Euskal Zentroak (BCSC) industria sektoreko enpresei zuzendutako zibersegurtasun arloko jardunaldiak antolatzen ditu. Gainera, enpresa eta partikularrei zibererasoen aurreko alerta zerbitzua eman nahi zaie; baita doako aholkularitza ere, zibereraso baten biktima izatekotan. Arlo honetako kontzientziazio jardunaldi bat antolatzeko interesa duten enpresek email bidez eska dezakete: sensibilizacion@bcsc.eus. Zerbitzu guztiak daude euskal enpresa eta herritarraren eskura www.basquecybersecurity.eus webgunean eta honako helbidean ere eska daiteke informazioa: info@bcsc.eus.