Een telefoontje van de “IT-support” ontwikkelt zich momenteel tot een van de duurste social-engineeringdreigingen op Wall Street. Volgens een nieuw beveiligingsrapport van Google is een golf van gecoördineerde cyberaanvallen op financiële bedrijven gericht op enkele van de grootste private-equity- en investeringsfirma’s in de Verenigde Staten, waarbij hackers ouderwetse telefoongesprekken gebruiken in plaats van geavanceerde malware om in te breken in bedrijfsnetwerken en gevoelige gegevens te stelen voor afpersing.
Summary
Belangrijkste punten
- Google identificeerde vier hackergroepen — Falcon, Helix, Pink en Redact — die spraak-phishingtelefoontjes gebruiken om in te breken bij Amerikaanse financiële bedrijven.
- Volgens Reuters behoren tot de doelwitten onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s en TPG.
- Google volgt de activiteiten onder een bredere groep genaamd UNC6671, al is het onduidelijk of de groepen gelieerde partijen zijn of onafhankelijke operators.
- Losgeldeisen variëren doorgaans van $750.000 tot $3 miljoen, en één wallet die aan de campagne is gekoppeld, ontving dit jaar ongeveer $10 miljoen in bitcoin.
Spraak-phishingaanvallen op Amerikaanse financiële bedrijven
Onbekende hackers breken in bij grote financiële en investeringsfirma’s in het hele land met één duidelijk doel: het stelen van gevoelige bedrijfsgegevens die ze later kunnen gebruiken om slachtoffers af te persen door te dreigen deze te publiceren. De beveiligingsonderzoekers van Google beschreven de campagne in een donderdag gepubliceerd rapport en schetsten een patroon van aanvallen dat leunt op menselijke fouten in plaats van software-exploits.
De techniek die centraal staat in deze campagne staat in de sector bekend als voice phishing, of vishing. Het is een decenniaoude oplichtingstruc in een modern jasje voor de bedrijfsomgeving, en het lijkt goed te werken bij werknemers die ervan uitgaan dat een telefoontje veiliger is dan een verdachte e-mail.
Imitatietechnieken gebruikt bij vishing
De aanvallers bellen de persoonlijke mobiele telefoons van werknemers en doen zich voor als collega’s of interne IT-helpdeskmedewerkers. Tijdens deze gesprekken proberen ze het doelwit stap voor stap te laten inloggen met inloggegevens en multi-factor-authenticatiecodes op websites die zijn gebouwd om op legitieme bedrijfsportalen te lijken. Zodra die inloggegevens in verkeerde handen vallen, krijgen de hackers de toegang die ze nodig hebben om dieper in de systemen van een bedrijf door te dringen.
Dit is belangrijk omdat multi-factor-authenticatie algemeen wordt gezien als een veiligheidsnet. Wanneer iemand wordt overgehaald om in real time een eenmalige code in te voeren op een nep-pagina, verdwijnt dat veiligheidsnet feitelijk — geen firewall of antivirusprogramma kan een beslissing tegenhouden die door een goedgelovige werknemer aan de telefoon wordt genomen.
Belangrijke getroffen financiële bedrijven
Google noemde in zijn rapport geen slachtoffers bij naam. Reuters meldde echter dat de lijst met doelwitten enkele van de grootste namen in private equity en financiële dienstverlening omvat: Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s en TPG. Laurie Bischel, een woordvoerder van CME Group, weigerde commentaar te geven toen haar naar het bericht werd gevraagd. Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, Moody’s en TPG reageerden niet op verzoeken om commentaar.
Afpersingsstrategieën en financiële eisen
Eenmaal binnen in een netwerk stelen de hackers de gegevens niet alleen stilletjes — verschillende van de groepen beheren publiek toegankelijke afpersingssites die zijn ontworpen om slachtoffers onder druk te zetten om snel te betalen. Dit is een veelgebruikte tactiek onder cybercriminele organisaties, maar het gebruik ervan tegen vooraanstaande financiële instellingen verhoogt de inzet aanzienlijk, gezien de gevoeligheid van dealgerelateerde informatie die deze bedrijven in handen hebben.
Publieke afpersingswebsites en dreigementen
Volgens Google exploiteren sommige van de geïdentificeerde groepen speciale leksites waar ze inbreuken openbaar maken en dreigen gestolen bestanden vrij te geven tenzij er losgeld wordt betaald. Een van die sites bevatte taal die de afpersing bijna als een zakelijke onderhandeling framede: “Wij voeren elke onderhandeling op professionele basis. De publicatie van uw gegevens is nooit onze voorkeursoplossing; het is het gevolg van weigering om in gesprek te gaan, opzettelijke vertragingstactieken of het niet nakomen van een overeenkomst,” luidde de boodschap, met de toevoeging: “Reageer snel en te goeder trouw, en de kwestie wordt opgelost zonder verdere incidenten.”
Losgeldeisen en cryptobetalingen
Het gaat om aanzienlijke bedragen. De onderzoekers van Google zeiden dat de hackers doorgaans tussen de $750.000 en $3 miljoen eisen van elk slachtoffer. In één opvallend datapunt ontving een cryptowallet die is gekoppeld aan een van de hackergroepen in de eerste maanden van dit jaar alleen al ongeveer $10 miljoen in bitcoin — een cijfer dat suggereert dat de campagne nu al zeer lucratief is geweest voor degenen die erachter zitten.
Coördinatie tussen hackergroepen onder UNC6671
De onderzoekers van Google denken dat de vier genoemde groepen mogelijk niet geïsoleerd opereren. In plaats daarvan zouden het verschillende gezichten kunnen zijn van één groter netwerk dat is ontworpen om de werkelijke omvang van de operatie te verhullen.
Geïdentificeerde hackergroepen en mogelijke connecties
Google gaf de vier groepen de namen Falcon, Helix, Pink en Redact, en zegt dat ze allemaal kunnen vallen onder een bredere paraplu die het bedrijf intern volgt als UNC6671. Wat onduidelijk blijft, is de exacte relatie tussen hen — of het formele gelieerde partijen zijn, splintergroepen die zijn voortgekomen uit een gedeelde oorsprong, of simpelweg afzonderlijke operators die gebruikmaken van dezelfde phishing-as-a-service-infrastructuur. “Wij denken dat dit hoogstwaarschijnlijk een gecoördineerde groep dreigingsactoren weerspiegelt die meerdere publieke afpersingsmerken exploiteren, mogelijk in een poging om operaties te compartimenteren, het totale aantal inbreuken te verbergen en eventuele gevolgen van onderhandelingen te isoleren,” aldus het rapport van Google.
Strategische motieven en doelwitselectie
Dit is geen campagne die begon met private equity. Google zegt dat dezelfde groepen eerder grote bedrijven in de maakindustrie, vastgoed, gezondheidszorg, verzekeringen, technologie, transport en horeca hebben aangevallen, op jacht naar “waardevolle intellectuele eigendom, softwarebroncode of gevoelige VIP-klantgegevens.”
De verschuiving naar juridische en financiële organisaties, waaronder private-equityfirma’s, lijkt doelbewust. De onderzoekers van Google merkten op dat “de focus op organisaties die betrokken zijn bij fusies, overnames, kapitaalallocatie en rechtszaken mogelijk een strategie weerspiegelt om zich te richten op hoogwaardige bedrijfs- en vertrouwelijke gegevens om de hefboomwerking van afpersingseisen te maximaliseren.” Met andere woorden, de hackers lijken op jacht naar het soort informatie — dealvoorwaarden, processtrategieën, gevoelige klantendossiers — waarvoor bedrijven bereid zijn veel te betalen om die uit de openbaarheid te houden.
Voor een sector die is gebouwd op vertrouwelijkheid en vertrouwen is die doelwitlogica hier het echte waarschuwingssignaal. Het gaat niet alleen om één inbreuk of één uitbetaling; het is een signaal dat aanvallers private equity en financiële dienstverlening hebben geïdentificeerd als vruchtbare grond, juist omdat de kosten van blootstelling voor deze bedrijven zoveel hoger zijn dan het losgeld zelf.
FAQ
Hoe krijgen hackers toegang tot de inloggegevens van werknemers bij deze aanvallen?
Hackers plegen telefoontjes waarbij ze zich voordoen als collega’s of IT-helpdeskmedewerkers om werknemers te misleiden hun inloggegevens in te voeren op nagemaakte websites.
Welke financiële bedrijven zijn het doelwit geweest van deze spraak-phishingaanvallen?
Volgens berichten behoren tot de doelwitten onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s en TPG.
Welke afpersingstactieken gebruiken de hackers nadat ze gegevens hebben gestolen?
Sommige groepen beheren websites die dreigen gestolen gegevens te publiceren, tenzij slachtoffers losgeld betalen.
Wat zijn de typische losgeldeisen van deze hackergroepen?
De losgeldeisen liggen doorgaans tussen $750.000 en $3 miljoen.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Hoe krijgen hackers toegang tot de inloggegevens van werknemers bij deze aanvallen?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Hackers plegen telefoontjes waarbij ze zich voordoen als collega’s of IT-helpdeskmedewerkers om werknemers te misleiden hun inloggegevens in te voeren op nagemaakte websites.”}},{“@type”:”Question”,”name”:”Welke financiële bedrijven zijn het doelwit geweest van deze spraak-phishingaanvallen?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Volgens berichten behoren tot de doelwitten onder meer Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s en TPG.”}},{“@type”:”Question”,”name”:”Welke afpersingstactieken gebruiken de hackers nadat ze gegevens hebben gestolen?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Sommige groepen beheren websites die dreigen gestolen gegevens te publiceren, tenzij slachtoffers losgeld betalen.”}},{“@type”:”Question”,”name”:”Wat zijn de typische losgeldeisen van deze hackergroepen?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”De losgeldeisen liggen doorgaans tussen $750.000 en $3 miljoen.”}}]}
Artikel geproduceerd met behulp van kunstmatige intelligentie en beoordeeld door de redactie.
