Bài học từ diễn đàn ngầm: Cách giảm thiểu tấn công Business Email Compromise (BEC)
"The article describes how Business Email Compromise (BEC) is evolving into a broader fraud operation that combines mailbox compromise, procurement intelligence gathering, social engineering, and cash-out infrastructure. It highlights underground discussions showing increased use of AI-generated emails, call centers for pressure tactics, and mule networks as a monetization bottleneck, and recommends layered defenses such as targeted training, exposure monitoring, MFA enforcement, and session revocation."
Tác động chủ yếu đến tính toàn vẹn quy trình thanh toán và khả năng chiếm quyền tài khoản. Các điểm then chốt gồm chiếm quyền hộp thư/SaaS, AI làm tăng tính thuyết phục của yêu cầu thanh toán, và cash-out/call center làm tăng tỷ lệ thành công.
Rủi ro gây thất thoát tiền và gián đoạn quy trình mua sắm–thanh toán. Điểm cần chú ý là mất kiểm soát phê duyệt thanh toán, giảm hiệu quả kiểm soát nội bộ do yêu cầu giả mạo theo ngữ cảnh, và tăng chi phí điều tra/khắc phục sau sự cố.
Business Email Compromise (BEC) không chỉ là lừa đảo qua email đơn lẻ mà là một chuỗi hoạt động gian lận có tổ chức. Theo phân tích từ các bài đăng diễn đàn ngầm trong năm qua, kẻ tấn công kết hợp chiếm quyền hộp thư/tài khoản SaaS, thu thập dữ liệu mua bán, lập bản đồ ngữ cảnh nội bộ (cơ cấu, quyền tài chính, quy trình mua sắm, hóa đơn và trao đổi với nhà cung cấp), rồi tạo yêu cầu thanh toán giả và thực hiện cash-out thông qua hạ tầng/đối tác nhận tiền.
Các tín hiệu đáng chú ý gồm việc BEC dùng AI để rút ngắn thời gian chuẩn bị và tạo email/invoice có độ “tương thích ngữ cảnh” cao; ưu tiên tài khoản liên quan bộ phận tài chính và nhân sự phê duyệt thanh toán; đồng thời có call center nhằm gây áp lực để thúc đẩy giao dịch. Điểm nghẽn lớn nằm ở khâu tìm tài khoản ngân hàng “phù hợp” và người xác thực thanh toán.
Khuyến nghị phòng thủ: triển khai đào tạo mục tiêu cho lãnh đạo và nhóm mua sắm/tài chính; tăng cường giám sát tài khoản SaaS và hộp thư; bắt buộc MFA và áp dụng session revocation khi phát hiện rò rỉ; thiết lập quy trình xác minh đa kênh (không coi kênh gọi lại do kẻ tấn công kiểm soát là bằng chứng).