Business Email Compromise: els senyals a Microsoft 365

El Business Email Compromise (BEC) és un frau en què l'atacant es fa passar per algú de confiança, o directament fa servir la seva bústia compromesa, per aconseguir un pagament o dades. No sol dur adjunts maliciosos ni enllaços a malware, així que els filtres clàssics el deixen passar. Segons l'informe IC3 de l'FBI, el 2024 el BEC va causar pèrdues declarades de gairebé 2.800 milions de dòlars només als Estats Units, molt per sobre del ransomware.

Quan el BEC surt d'un compte real compromès, deixa rastre als logs de Microsoft 365. Aquests són els senyals que convé buscar.

1. L'inici de sessió

Quasi sempre comença amb credencials robades per phishing, i cada cop més amb un proxy AiTM que també roba la cookie de sessió i salta l'MFA tradicional. Als logs d'inici de sessió d'Entra ID:

• IP d'un proveïdor d'hostatge o VPN comercial, no d'un ISP residencial ni de l'oficina.
• País o ciutat que no encaixa amb l'usuari, o «viatge impossible» respecte a l'inici de sessió anterior.
• Un user agent diferent de l'habitual de l'usuari, de vegades de llibreries com python-requests o axios.
• Un inici de sessió correcte just després que l'usuari fes clic en un enllaç d'un correu.

2. Les regles de la safata d'entrada

És el senyal més fiable i el que menys falsos positius dona, perquè el primer que fa l'atacant és amagar-se: una regla que mou a «RSS» o «Arxiu» i marca com a llegit qualsevol correu que contingui «factura», «pagament», «transferència» o el nom del proveïdor que vol suplantar. Així la víctima no veu les respostes.

Al registre d'auditoria unificat, les operacions New-InboxRule, Set-InboxRule i UpdateInboxRules. Desconfia de regles amb noms d'un sol caràcter («.», «..», «a») o que mouen a carpetes que ningú fa servir.

3. Reenviaments externs

Un Set-Mailbox amb ForwardingSmtpAddress cap a una adreça externa, o una regla que reenvia còpia de tot. L'ideal és bloquejar el reenviament automàtic extern a la política antispam de sortida i crear excepcions només quan hi hagi un motiu.

4. Aplicacions OAuth amb permisos de correu

Una variant més persistent: l'atacant aconsegueix que l'usuari consenti una aplicació amb permisos com Mail.Read o Mail.Send. Encara que es canviï la contrasenya, l'app continua tenint accés. Revisa els consentiments recents a Entra ID i restringeix qui pot donar-los, com explico a l'article de mínim privilegi a Entra ID.

5. El frau en si

El correu final: «hem canviat de banc, a partir d'ara els pagaments a aquest compte», amb un fil real de conversa al darrere i de vegades des d'un domini quasi idèntic al del proveïdor. Aquí la defensa ja no és tècnica: qualsevol canvi de dades bancàries es verifica per un canal diferent (una trucada al número que ja tenies, no al del correu).

Resposta en l'ordre correcte

1. Revocar les sessions de l'usuari (Revoke-MgUserSignInSession), no només canviar la contrasenya: la cookie robada continua valent.
2. Restablir la contrasenya i revisar els mètodes d'MFA registrats, per si l'atacant hi ha afegit el seu.
3. Eliminar regles de safata i reenviaments maliciosos.
4. Revisar i revocar consentiments OAuth sospitosos.
5. Buscar al registre d'auditoria quins correus es van llegir i enviar durant l'accés, i avisar els destinataris.

Perquè no es repeteixi, el que més redueix el risc és l'MFA resistent al phishing en els usuaris de finances i direcció, juntament amb DMARC en p=reject perquè ningú pugui suplantar el teu domini des de fora.

Preguntes freqüents

Què és el BEC?

Business Email Compromise: frau per correu en què l'atacant suplanta un directiu, un empleat o un proveïdor, o fa servir el seu compte compromès, per aconseguir transferències, canvis de compte bancari o informació sensible.

Canviar la contrasenya n'hi ha prou per fer fora l'atacant?

No. Cal revocar les sessions actives, revisar els mètodes d'MFA, les regles de safata i les aplicacions amb consentiment. Si no, l'atacant conserva l'accés.

Com distingeixo un BEC d'un phishing normal?

El phishing busca credencials o instal·lar malware de manera massiva. El BEC és dirigit, sol anar sense enllaços ni adjunts i busca diners directament, recolzant-se en una relació de confiança real.