İş e-postası ele geçirme müdahalesi, bir çalışanın kurumsal posta hesabının ele geçirilerek ödeme yönlendirme veya bilgi sızdırma amacıyla kullanıldığı bir saldırı fark edildiğinde başlayan yanıt sürecidir. Bu saldırı türünde çoğu zaman zararlı yazılım yoktur; saldırgan meşru bir hesabı kullanarak, güvenilen bir kimlikle sahte bir ödeme talimatı gönderir. Müdahale bu yüzden hem teknik hem finansal bir yarıştır.

BEC’te asıl kaçak yazılım değil paradır; müdahalenin saati işleyen tarafı transferi geri çağırmaktır.

Bu süreç, genel Olay müdahale mantığının parayla iç içe geçmiş özel bir uygulamasıdır. Klasik olayda önceliğiniz sistemi izole etmektir; BEC’te ise ilk saatte en yüksek öncelik, gönderilmiş veya gönderilmek üzere olan transferi durdurmaktır, çünkü çalınan para saatler içinde geri alınamaz hale gelebilir.

İlk Saat: Parayı Durdurmak

Sahte bir ödeme talimatı yürürlüğe girmişse, müdahalenin ilk hamlesi hesabı temizlemek değil bankayla iletişime geçip transferi geri çağırma sürecini başlatmaktır. Birçok ülkede kısa bir zaman penceresi içinde yapılan geri çağırma talepleri sonuç verir; bu pencere kapandıktan sonra para büyük olasılıkla kaybolur. Aynı anda ödeme sürecindeki ekipler uyarılır, çünkü aynı dolandırıcılık zinciri birden fazla sahte talimat içerebilir.

Hesabı Temizlemek ve Kapsamı Çıkarmak

Para tarafı kontrol altına alınırken teknik taraf yürür. Ele geçirilen hesabın tüm oturumları sonlandırılır, parola ve çok faktörlü doğrulama sıfırlanır. Ardından saldırganın en sevdiği aracı aranır: gelen kutusu kurallarındaki gizli yönlendirme ve otomatik silme filtreleri. Saldırgan tipik olarak, sahte konuşmanın gerçek muhatabına ulaşmasını engellemek için ‘banka’ veya ‘fatura’ içeren mesajları sessizce arşive taşıyan kurallar kurar. Bu kurallar bulunup temizlenmeden hesap güvende sayılamaz.

• Şüpheli veya gerçekleşmiş transfer için bankadan geri çağırma sürecini başlat
• Ele geçirilen hesabın oturumlarını kapat, parola ve MFA’yı sıfırla
• Gizli posta yönlendirme ve otomatik silme kurallarını bul ve kaldır
• Saldırganın gönderdiği tüm sahte mesajları ve muhataplarını çıkar
• Aynı zincirdeki diğer ödeme talimatlarını ve etkilenen tarafları uyar
• Kanıt için başlıkları, kuralları ve oturum kayıtlarını sakla

Nasıl Girdiler ve Kimi Kandırdılar?

Kök nedeni kapatmak, saldırganın hesaba nasıl eriştiğini bulmayı gerektirir. Erişim çoğunlukla, kurum içindeki belirli bir kişiyi hedef alan ve gerçek bir yazışmayı taklit eden bir Hedefli kimlik avı mesajıyla çalınan kimlik bilgisinden gelir. Ele geçirilen hesap, bir kez içeri girildikten sonra kurumun içine ve dışına yeni İş e-postası ele geçirme mesajları yaymak için sıçrama tahtası olarak kullanılır; bu yüzden müdahale, tek hesabı değil o hesaptan temas edilen tüm muhatapları kapsam içine almak zorundadır.

BEC müdahalesinde başarı, finansal aciliyet ile teknik temizliği aynı anda ve doğru sırayla yürütmeye bağlıdır. Bu iki cepheyi eşgüdümle yönetmek için olay inceleme ve olay müdahalesi hizmeti bu tür olaylarda belirleyici olur.