We willen Business Email Compromise eerder zien dan de boekhouding
BEC begint vaak stil. Aanvaller logt in, zet een inbox-rule die mail van de boekhouder of een leverancier wegmoffelt naar Verwijderde items of een onzichtbare map, en wacht op een factuur. Detecteer op de inbox-rule, niet op de phish.
Probeer dit eerst zelf
- 1Zet in Defender for Office 365 of Sentinel een alert op nieuwe inbox-rules die mail verplaatsen naar RSS Feeds, Conversation History, Notes, of een map met een enkele letter of cijfer als naam.
- 2Voeg een tweede alert toe op rules met forwardingSMTPAddress of forwardingAddress naar een externe domein. Auto-forwarding extern hoort sowieso uit te staan in de remote-domain-policy.
- 3Activeer in Defender XDR het detectievoorbeeld 'Suspicious inbox manipulation rule', dat draait op signalen vanuit Exchange en is gratis bij P2.
- 4Schakel mailbox-auditing in met Set-Mailbox -AuditEnabled $true en zorg dat New-InboxRule en UpdateInboxRules in de audit-set staan. Zonder audit zie je achteraf niets.
- 5Train de boekhouding om bij IBAN-wijzigingen of betaal-haast altijd terug te bellen op een nummer uit hun eigen administratie, niet uit de mail-handtekening.
Wanneer ons inschakelen
Vind je een verdachte rule plus een gewijzigde IBAN op een openstaande factuur, dan zit de aanvaller er waarschijnlijk al twee tot zes weken in. Behandel het als incident en haal er forensische hulp bij voordat je sessies revoket.
Zie ook
- Ik denk dat ik op een phishing-link heb gekliktNiet schamen, gebeurt iedereen. De volgende vijftien minuten doen ertoe.
- Een collega-account doet rare dingenMails verzenden uit naam van de collega, regels die mappen verbergen, ongebruikelijke logins. Verdacht.
- MFA-app verloren - nieuwe telefoon, geen backup-codesKlassiek probleem na een telefoon-upgrade. Niet de eerste die zonder kan inloggen.
Past het bovenstaande niet?
Beschrijf je situatie hieronder. We sturen jouw input plus de stappen die je al zag naar onze AI en geven gericht vervolg-advies. Als het te risicovol is om zelf te doen, zeggen we dat ook.
Of doe het helemaal niet zelf
Onze Managed IT-klanten zoeken dit soort vragen niet op. Eén aanspreekpunt, vaste prijs per maand, en het is binnen werktijd opgelost.