Basque Cybersecurity Centre erakundeak euskal enpresei zuzendutako email bidezko iruzur kanpainen inguruan ohartarazi du

Eraso mota horrek pertsona baten identitatea faltsutzen du eta 8.000 milioi euroko galerak ere eragiten ditu mundu osoan

Zibersegurtasuneko Euskal Zentroak eta Ertzaintzaren Delitu Informatikoen Sailak email bidezko hainbat iruzur kanpaina identifikatu dituzte berriki, euskal enpresei eraso ekonomikoak egitera bideratuak.

Business Email Compromise deituriko eraso horiek 120.000 euroko batez besteko galerak ere ekarri ahal dizkiete enpresei. Iruzur mota horren eragina zein zabalkundea haziz doaz (2015etik %1.300ko hazkundea izan dute) eta tamaina guztietako enpresei eragiten diete. Aurten, Trend Micro erakundearen estimazioen arabera, sortutako galerak 8.000 milioi euro ingurukoak izan dira mundu osoan.

Eraso mota honen oinarria zera da: email bidez pertsona baten identitatea faltsutzen da beste bat engainatzeko, iruzurgileak kontrolatutako kontu batera transferentzia ekonomiko bat egin dezan. Phishing motako eraso tradizionaletan ez bezala, eraso horiek biktima bakoitzarentzako bereziki diseinatuta daude eta posta elektroniko profesionalen itxura dute.

Kasu gehienetan, zibergaizkileek enpresen azken albisteak eta langileen sare sozialak aztertzen dituzte, iruzurra ahalik eta sinesgarriena izan dadin. Erasoak posta elektronikoz egiten dira eta, aurretik egindako azterketa lanari esker, spam filtroak eta bestelako babesak gainditzen dituzte. Onura ekonomikoaz gain, zibergaizkileen beste helburuetako bat zera da: enpresari ekonomikoki zein ospe aldetik arazoak ekarri ahal dizkion informazio konfidentziala lortzea.

Zibererasoak prebenitu edota horiei aurre egiteko, funtsezkoa da langileak kontzientziatzea, ohiz kanpoko eskaerak identifikatzeko gai izan daitezen, hala nola faktura edo bankuko kontuen xedearekin erlazionatutako aldaketak eskatzen dituzten mezuak. Era berean, gomendagarria da enpresek beren langileei eskatzea transferentzia elektronikoen eskaerak beste bide batzuetatik balioztatu ditzatela; telefonoz, esaterako, email faltsuak saihesteko. Gainera, interesgarria izango litzateke baliabide teknikoak ezartzea, hala nola SPF, DKIM edo DMARC delakoak, eta postara sarbidea izateko segurtasun neurri sendoak.

Business Email Compromise iruzurra oinarrizko 5 modutan eman daiteke:

• CEO iruzurra. Zibergaizkileek email bat bidaltzen diote, itxuraz enpresako arduradun baten izenean, transferentziak egiteko eskumena daukan langile bati. Horren bidez, zibergaizkileen kontrolpean dagoen kontu batera fondoak bidaltzeko agindua ematen zaio.

• Faktura faltsuaren iruzurra. Zibergaizkileek, erabiltzaile baten kontua konprometitu ostean, postan bilatzen dute iraungitzear dagoen faktura bat, gero finantza sailarekin harremanetan jarri eta ordainketa kontua beste batengatik alda dezaten eskatzeko.

• Abokatuaren identitatea faltsutzea. Zibergaizkilea enpresa baten abokatu taldearen izenean aritzen da eta gatazka bat konpondu edo iraungitako faktura bat ordaintzeko transferentzia bat eskatzen du.

• Datu lapurreta. BEC iruzur mota hau da zuzeneko fondo transferentzia bat eskatzen ez duen bakarra. Datuak lapurtzea da xede nagusia, exekutibo baten posta elektronikoa konprometituz eta informazio konfidentziala bidaltzeko eskatuz.

Euskadi segurtasun arloan erreferente izan dadin eta mehatxu hauen aurrean kontzientziatuta egon gaitezen, Zibersegurtasuneko Euskal Zentroak (BCSC) industria sektoreko enpresei zuzendutako zibersegurtasun arloko jardunaldiak antolatzen ditu. Gainera, enpresa eta partikularrei zibererasoen aurreko alerta zerbitzua eman nahi zaie; baita doako aholkularitza ere, zibereraso baten biktima izatekotan. Arlo honetako kontzientziazio jardunaldi bat antolatzeko interesa duten enpresek email bidez eska dezakete: sensibilizacion@bcsc.eus. Zerbitzu guztiak daude euskal enpresa eta herritarraren eskura www.basquecybersecurity.eus webgunean eta honako helbidean ere eska daiteke informazioa: info@bcsc.eus.