Πώς εξελίσσεται ένα BEC σε ασφαλιστική εταιρεία σε απάτη εμβάσματος

Offensive Scenario — Ασφαλιστικός κλάδος. Σε μια ασφαλιστική εταιρεία ρέουν
καθημερινά εντολές πληρωμών, αποζημιώσεις και τραπεζικά στοιχεία. Ένα BEC σε ασφαλιστική
εταιρεία (Business Email Compromise) δεν χρειάζεται malware: αρκεί ένα παραβιασμένο
mailbox, ένας κρυφός κανόνας προώθησης και μια αλλαγή IBAN τη σωστή στιγμή. Το ερώτημα για τη
διοίκηση: θα εντοπίζατε την παραποίηση πριν φύγει το έμβασμα;

Σημείωση: το παρακάτω σενάριο παρουσιάζεται σε υψηλό, υπεύθυνο επίπεδο. Δεν περιλαμβάνει λειτουργικά payloads ή copy-paste βήματα εκμετάλλευσης. Όλα τα ονόματα, IP, domains και χρήστες είναι ανωνυμοποιημένα εργαστηριακά παραδείγματα (π.χ. contoso.local, 10.10.x.x, CORP-DC01) και αντιστοιχούν σε πραγματικά μοτίβα που έχει συναντήσει η Audax σε ελεγχόμενα έργα υπό NDA.

Executive Summary

Το σενάριο δείχνει πώς ένα BEC σε ασφαλιστική εταιρεία εξελίσσεται από ένα
phishing έως μια πραγματική απάτη εμβάσματος (wire fraud), μέσα από κρυφή χειραγώγηση mailbox και
πλαστά εσωτερικά μηνύματα. Η Audax το αναπαράγει ελεγχόμενα ώστε να αποδειχθεί αν τα σημεία
ανίχνευσης (email security, SIEM, SOC) ενεργοποιούνται στα σωστά στάδια — και πόσο χρόνο έχει
πραγματικά ο οργανισμός πριν τη χρηματική ζημιά.

Το επιχειρησιακό ρίσκο

Για μια ασφαλιστική, ένα επιτυχημένο BEC σημαίνει άμεση οικονομική απώλεια (πληρωμή σε λάθος
λογαριασμό), έκθεση δεδομένων ασφαλισμένων, παραβίαση εμπιστοσύνης με συνεργάτες και διαμεσολαβητές,
υποχρεώσεις συμμόρφωσης (GDPR, DORA για τον χρηματοοικονομικό τομέα) και σοβαρή
ζημιά φήμης. Το κόστος σπάνια είναι μόνο το ποσό της απάτης — είναι η έρευνα, η αποκατάσταση και
η απώλεια εμπιστοσύνης.

Πώς θα μπορούσε να εξελιχθεί ένα αντίστοιχο σενάριο επίθεσης

1. Initial Access (T1566): στοχευμένο phishing προς ρόλους με πρόσβαση σε
   πληρωμές/αποζημιώσεις, με credential harvesting σε πλαστή σελίδα σύνδεσης.
2. Valid Accounts (T1078): ο αντίπαλος μπαίνει στο mailbox με έγκυρα credentials —
   χωρίς malware, με χαμηλό θόρυβο.
3. Email Collection & Persistence (T1114): δημιουργία κρυφού κανόνα προώθησης
   και διαγραφής, παρακολούθηση νημάτων πληρωμών.
4. Internal Spearphishing & Financial Theft (T1534/T1657): πλαστό εσωτερικό
   μήνυμα με αλλαγμένο IBAN — η εντολή πληρωμής εκτελείται.

Η αδύναμη email υγιεινή (SPF soft-fail, DMARC p=none) επιτρέπει lookalike domains
και spoofing. Το επόμενο βήμα γίνεται μέσα στο ίδιο το mailbox:

Τι δοκιμάζει η Audax ελεγχόμενα

• AI phishing simulations και
  social engineering προς οικονομικό, claims και underwriting, με metrics.
• External & internal penetration testing: έλεγχος
  έκθεσης ταυτότητας, MFA, configuration του cloud email.
• Active Directory & Cloud assessment: εντοπισμός
  αδυναμιών ταυτότητας στο M365/Entra, κανόνων mailbox και υπερβολικών δικαιωμάτων.
• SOC/SIEM/EDR effectiveness: επικύρωση ανίχνευσης κανόνων
  προώθησης, ασυνήθιστων logins και αλλαγών σε νήματα πληρωμών.

Τι πρέπει να ανιχνεύσει το SOC, το SIEM και το EDR

• ασυνήθιστα logins (impossible travel, νέα συσκευή, legacy auth)·
• δημιουργία/τροποποίηση κανόνων inbox με auto-forward ή delete·
• μαζική ανάγνωση/αναζήτηση σε mailbox οικονομικών (email collection)·
• lookalike domains και spoofing που περνούν λόγω DMARC p=none·
• συσχέτιση identity + email + DLP και ο χρόνος μέχρι το πρώτο alert.

Τακτική (Tactic)	ATT&CK ID	Τεχνική	Τι σημαίνει στο σενάριο
Initial Access	T1566	Phishing	Στοχευμένο email προς οικονομικό/claims με credential harvesting.
Valid Accounts	T1078	Valid Accounts	Είσοδος στο mailbox με έγκυρα πλέον διαπιστευτήρια.
Collection	T1114	Email Collection	Ανάγνωση νημάτων πληρωμών, αποζημιώσεων, IBAN.
Lateral Movement	T1534	Internal Spearphishing	Πλαστά εσωτερικά emails προς λογιστήριο/προμηθευτές.
Impact	T1657	Financial Theft	Αλλαγή τραπεζικών οδηγιών — απάτη εμβάσματος (wire fraud).

Τι τεχνική απόδειξη παράγεται

Επικυρωμένη αλυσίδα από το αρχικό phishing έως τη χειραγώγηση πληρωμής, αποδείξεις (anonymized
screenshots/log excerpts), τα σημεία όπου η ανίχνευση έπρεπε να ενεργοποιηθεί (detection gaps),
αξιολόγηση σοβαρότητας και αντιστοίχιση με business impact. Ενδεικτικοί δείκτες:

Τύπος	Ένδειξη (anonymized)	Πλαίσιο ανίχνευσης
Domain	contoso-lnsurance[.]local	Lookalike domain (rn/l ομογλυφικά) για BEC.
Rule	Inbox auto-forward -> mail[.]ru	Κρυφή προώθηση & διαγραφή σε mailbox οικονομικών.
Account	[email protected]	Παραβιασμένο mailbox — αρχή της απάτης.
Behavior	New-InboxRule εκτός ωραρίου	Παραποίηση κανόνων από νέα/ασυνήθιστη συσκευή.
Content	Αλλαγή IBAN σε νήμα πληρωμής	Δείκτης invoice/wire fraud.

Τι παραδίδεται στη διοίκηση

Executive risk summary με οικονομική επίπτωση, ιεραρχημένο remediation roadmap (MFA/conditional
access, DMARC enforcement, διαδικασίες επαλήθευσης πληρωμών), παρατηρήσεις ωριμότητας ανίχνευσης,
συσχέτιση με DORA και GDPR, και πλάνο retesting.

Πώς μειώνεται ο κίνδυνος

• MFA/conditional access παντού, κατάργηση legacy authentication·
• DMARC p=reject, SPF hardening, DKIM, anti-lookalike monitoring·
• out-of-band επαλήθευση κάθε αλλαγής τραπεζικών στοιχείων (διπλή έγκριση)·
• alerting σε κανόνες auto-forward και μαζική πρόσβαση mailbox·
• purple teaming για επικύρωση των ανιχνεύσεων BEC, και retesting.