Begin dit jaar is een Franse multinational het doelwit van social engineering geworden, waarbij een secretaresse door criminelen werd gebeld en de instructies kreeg om een besmette bijlage te openen. De secretaresse had een e-mail ontvangen die zogenaamd van een vicepresident van het bedrijf afkomstig was en een rekening voor een bestandsuitwisselingsdienst zou bevatten.

Een paar minuten na het bericht te hebben ontvangen werd de vrouw door een andere zogenaamde vicepresident gebeld met het verzoek om de factuur te bekijken en te betalen. In werkelijkheid was de factuur een remote access Trojan waarmee allerlei bestanden werden gestolen.

Telefoonnummer

Anti-virusbedrijf Symantec zegt dat het de afgelopen maanden meer van dit soort social engineeringaanvallen heeft gezien. Bij een andere aanval was een computer van de aangevallen organisatie al met een RAT geïnfecteerd. Daarmee wisten de aanvallers allerlei gegevens te stelen, waaronder de plannen voor noodsituaties, rekeninggegevens en aanspreekpunten bij bank en telecomprovider.

Via deze gegevens wist de aanvaller zich als een werknemer voor te doen en belde de telecomprovider. Na zich te hebben geauthenticeerd vertelde de aanvaller dat er een ramp had plaatsgevonden en alle telefoonnummers van het bedrijf naar het nummer van de aanvaller moesten worden doorgeschakeld.

Vervolgens stuurde de aanvaller een fax naar de bank van het bedrijf om een groot bedrag naar een offshore rekening over te maken. Vanwege de bijzondere transactie belde de bank het bedrijf om de transactie te valideren. Het telefoontje werd naar de aanvaller doorgestuurd die de transactie bevestigde. Het geld werd overgemaakt en vervolgens via verschillende andere rekeningen witgewassen.

Mobiel

De aanvallen lijken vooral tegen Franse bedrijven gericht te zijn. Het IP-adres van de aanvaller wees naar het mobiele netwerk van een Israëlische telecomprovider. De aanvaller had MiFi-kaarten gebruikt om zijn identiteit te verbergen.

Een MiFi-kaart maakt het mogelijk om een computer via het mobiele telefoonnetwerk verbinding met internet te laten maken. Uit analyse van het dataverkeer bleek verder dat de aanvaller onderweg was toen hij de aanval uitvoerde. Volgens Symantec laat de aanval zien dat cybercriminelen steeds geraffineerder te werk gaan.