Detecção de Comprometimento de E-mail Empresarial

Visão Geral

Comprometimento de E-mail Empresarial (BEC) é um esquema de fraude sofisticado onde atacantes se passam por executivos, fornecedores ou parceiros confiáveis para enganar funcionários a transferir fundos, compartilhar dados sensíveis ou alterar detalhes de pagamento. Diferente do phishing tradicional, BEC frequentemente não contém links ou anexos maliciosos, dependendo puramente de engenharia social. Esta habilidade abrange técnicas de detecção usando regras de gateway de e-mail, análise comportamental e controles de processos financeiros.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de comprometimento de e-mail empresarial.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Gateway de segurança de e-mail com capacidades de detecção de BEC.
• Compreensão dos processos financeiros organizacionais e cadeias de aprovação.
• Acesso a logs de e-mail e plataforma SIEM.
• Conhecimento de táticas de engenharia social.

Conceitos Chave

Tipos de Ataque BEC (Classificação do FBI IC3)

1. Fraude do CEO: Atacante se passa pelo CEO, solicita transferência bancária urgente.
2. Comprometimento de Conta: E-mail de funcionário comprometido, usado para solicitar pagamentos de fornecedores.
3. Esquema de Fatura Falsa: Faturas falsas de "fornecedor" com detalhes bancários alterados.
4. Impersonificação de Advogado: Se passa por consultor jurídico para transferências confidenciais urgentes.
5. Roubo de Dados: Solicita W-2, formulários fiscais ou PII do RH.

Indicadores de Detecção

• Linguagem de urgência e sigilo ("confidencial", "não discuta com outros").
• Instruções de pagamento novas ou alteradas.
• Comunicação executiva fora dos padrões normais.
• Nome de exibição corresponde ao executivo, mas o domínio do e-mail difere.
• Endereço de resposta (Reply-To) difere do endereço de remetente (From).
• Padrão de comunicação pela primeira vez entre remetente e destinatário.
• Solicitação de cartões de presente ou criptomoedas.

Fluxo de Trabalho

Etapa 1: Configurar Regras de E-mail Específicas para BEC

• Sinalizar e-mails com nomes de exibição de VIP de domínios externos.
• Detectar palavras-chave financeiras combinadas com linguagem de urgência.
• Alertar sobre o primeiro remetente para funcionários de finanças/contabilidade.
• Verificar a incompatibilidade do domínio Reply-To.

Etapa 2: Implementar Análise Comportamental

• Estabelecer padrões normais de comunicação por usuário.
• Detectar solicitações anômalas (destinatário incomum, horário incomum, tipo de solicitação incomum).
• Monitorar alterações nas regras de encaminhamento de e-mail (T1114.003).

Etapa 3: Implementar Controles Financeiros

• Dupla autorização para transferências bancárias acima do limite.
• Verificação fora de banda para alterações nos detalhes de pagamento (retorno de chamada telefônica).
• Processo de verificação de alteração de pagamento de fornecedor.
• Treinamento da equipe financeira sobre sinais de alerta de BEC.

Etapa 4: Monitorar Comprometimento de Conta

• Detectar viagens impossíveis em locais de login de e-mail.
• Alertar sobre a criação de regras de encaminhamento de e-mail.
• Monitorar alterações de delegação de caixa de correio.
• Verificar regras de caixa de entrada que ocultam e-mails relacionados a BEC.

Ferramentas e Recursos

• Microsoft Defender for O365 Anti-BEC: Detecção de BEC integrada.
• Proofpoint Email Fraud Defense: Solução específica para BEC.
• Abnormal Security: Detecção de BEC baseada em IA.
• Aviso BEC do FBI IC3: https://www.ic3.gov/
• Aviso BEC do FinCEN: Orientação para instituições financeiras.

Validação

• Regras de detecção de BEC acionam em cenários de teste.
• Controles financeiros impedem transferências não autorizadas em simulações.
• Detecção de comprometimento de conta captura ataques simulados.
• Redução da suscetibilidade a BEC em avaliações de conscientização.