Атакуващи проникват в корпоративни имейл акаунти чрез кратки съобщения с запитване дали компанията може да предостави ценова оферта за предстоящ проект — точно от типа запитвания, на които служителите в отдел продажби и снабдяване отговарят всяка седмица.
Кейдънс Ридъл, изследовател по киберсигурност във Fortra, отчита 12-кратно увеличение на зловредните имейли, съдържащи „RFQ“ (запитване за оферта) между октомври 2025 г. и септември 2026 г. В близо 73% от случаите примамката води до страница, създадена за кражба на идентификационни данни за вход.
„Комуникацията относно RFQ е рутинна за екипите по продажби, снабдяване и работа с клиенти в много организации. Кратко запитване за наличност или обещание за изпращане на спецификации по проект може да изглежда достоверно, особено когато е представено като потенциална бизнес възможност. След като получателят отговори обаче, атакуващият обикновено въвежда външна връзка, предназначена да събира корпоративни идентификационни данни, информация за МФА или данни за сесии“, пояснява Ридъл.
Първоначалният имейл обикновено съдържа съвсем малко информация, установява Ридъл. В него може да се посочва име на мениджър по покупките, специалист по снабдяване или представител на компания и да се иска от получателя да потвърди наличност или да изпрати оферта, като същевременно не се предоставят почти никакви подробности за самия проект.
След като бъде получен отговор, атакуващият изпраща последващо съобщение с линк, описан като проектни чертежи, RFQ пакет, сигурен трансфер на файлове или портал за обществени поръчки. Страницата зад него обикновено имитира вход за Microsoft 365, Google Workspace или подобен бизнес профил, като в зависимост от използвания фишинг инструмент може също да опита да прихване одобрения за МФА, еднократни кодове за достъп, бисквитки или токени за сесии. По-малка част от имейлите доставят зловреден код.
Бизнес контекстът върши част от работата на атакуващите. Контекстът на RFQ „може да намали подозрението на получателя, когато се сблъска с подкана за вход в системата“, отбелязва Ридъл.
Съобщенията са изпратени от 664 различни домейна на податели. Ридъл смята, че те могат да включват домейни за еднократна употреба, акаунти за уеб поща, компрометирани легитимни акаунти и домейни, подбрани да наподобяват съществуващи компании.
„Широкият отпечатък на домейните на подателите означава, че репутацията на подателя и списъците за блокиране остават полезни, но не могат да бъдат единствената основа за засичане“, добавя той.
Доверен акаунт в грешните ръце
Атакуващ, който получи достъп до корпоративна пощенска кутия, може да я претърси за клиентска информация, фактури, платежни нареждания, вътрешни контакти и подробности за текущи проекти. След това акаунтът може да се използва за изпращане на фишинг имейли до колеги, клиенти и доставчици, които имат всички основания да се доверяват на подателя.
Измами с пренасочване на плащания, манипулиране на фактури, фалшиви заявки за покупки и разкриване на клиентски и проектни данни са сред възможните последици, които Ридъл изброява, заедно с уронване на репутацията на засегнатата компания.
„Дори когато не настъпи директна финансова загуба, даден инцидент може да наруши нормалната бизнес комуникация, да изразходва ресурси за разследване и да намали доверието в практиките за сигурност на организацията“, отбелязва Ридъл.
Служителите в отдел продажби, снабдяване и обслужване на клиенти са най-уязвими, тъй като работата им включва отваряне на документи и линкове от лица, с които никога не са взаимодействали. Забраната на линкове за тези екипи не е практична, отбелязва изследователят, поради което те се нуждаят от безопасен начин за проверка на потенциални купувачи и подозрителни материали.
„Чрез третиране на RFQ процеса като целеви случай за злоупотреба с ясни контроли и отговорници, организациите могат да намалят вероятността рутинно бизнес запитване да се превърне в инцидент с компрометиране на акаунт“, заключава Ридъл.
- cybercrime
- Fortra
- phishing