Business Email Compromise (BEC, Компрометация деловой электронной почты) - это целенаправленная атака, при которой злоумышленник выдаёт себя за доверенное лицо внутри организации или за её партнёра, чтобы побудить сотрудника совершить финансовую операцию или раскрыть конфиденциальные данные. В отличие от массового фишинга, BEC не обязательно содержит вредоносные ссылки или вложения: вся атака строится на социальной инженерии и эксплуатации доверия к деловой переписке. Именно поэтому BEC остаётся одним из самых разрушительных видов кибермошенничества: по данным ФБР, с октября 2013 по декабрь 2023 года было зарегистрировано около 305 тысяч инцидентов BEC с совокупным ущербом примерно 55 миллиардов долларов.
Как это работает
Сценарий BEC начинается с разведки (Reconnaissance): злоумышленник изучает структуру компании, ключевых руководителей, поставщиков и финансовые процессы. Затем он выбирает один из двух путей. Первый - компрометация реального почтового ящика через фишинг или подбор учётных данных: получив доступ, атакующий может читать переписку, отвечать от имени владельца и вклиниваться в существующие цепочки сообщений. Второй - подмена отправителя (Spoofing) с использованием похожего домена (Lookalike Domain) или поддельного отображаемого имени (Display Name). В обоих случаях ключевым элементом становится контекст: сообщение выглядит как продолжение нормального рабочего диалога, поэтому у получателя не возникает подозрений.
Атака часто приурочена к моменту, когда настоящий руководитель недоступен: отпуск, командировка, конференция или период слияния и поглощения. Срочность и авторитет отправителя подавляют критическое мышление, и сотрудник выполняет просьбу, не перепроверяя её по независимому каналу.
Примеры из практики
Показательный случай произошёл в Сенегале, где злоумышленники проникли во внутреннюю почтовую систему крупной нефтяной компании и от имени руководителей санкционировали перевод на 7,9 миллиона долларов. Благодаря оперативной заморозке счетов властям удалось остановить транзакцию до того, как средства были выведены. Этот пример демонстрирует, что BEC может нанести ущерб даже при наличии технических средств защиты, если атакующий получил контроль над легитимным ящиком.
В Baltimore в 2025 году мошенник получил доступ к учётной записи поставщика в системе Workday и изменил банковские реквизиты на собственные. Департамент расчётов города провёл два платежа на общую сумму более 1,5 миллиона долларов, причём один из них - 803 тысячи - восстановить не удалось. Проверка показала, что сотрудники утвердили изменение реквизитов без надлежащей верификации документов.
Отдельную категорию составляют атаки без вложений и ссылок. В одной из кампаний злоумышленник выдал себя за вице-президента кибербезопасной компании и отправил письмо из четырёх предложений с просьбой изменить реквизиты прямого депозита зарплаты. В письме не было ни ссылок, ни файлов - только текст и подпись, поэтому системам сканирования было нечего анализировать. В Гонконге сотрудники благотворительной организации получили письма якобы от генерального директора с просьбой приобрести подарочные карты для «внутреннего распределения бонусов». Один сотрудник выполнил просьбу и передал коды злоумышленнику, после чего тот потребовал значительно большую сумму.
Эволюция и защита
Генеративный искусственный интеллект усиливает BEC, позволяя создавать грамматически безупречные, персонализированные сообщения на основе открытых данных о компании и её сотрудниках. Злоумышленники всё чаще используют легитимные сервисы рассылки и скомпрометированные DKIM-ключи, чтобы сообщения проходили проверки подлинности. Защита от BEC строится на сочетании технических и организационных мер: обязательная многофакторная аутентификация, устойчивая к фишингу, для всех сотрудников, особенно для руководителей и финансовых специалистов; строгая проверка запросов на изменение банковских реквизитов по независимому каналу связи; внедрение DMARC в режиме отклонения и мониторинг подмены бренда. Однако ключевым остаётся культура безопасности: сотрудники должны знать о существовании BEC и иметь безопасный способ сообщить о подозрительном письме, не опасаясь последствий.
