Criminele stijgers en shakers, volgens IC3 van de FBI

Op 7 mei bracht de FBI hun jaarlijkse IC3-rapport uit. Daarin kun je lezen over gemelde internetcriminaliteit. We waarderen het rapport, het is eenvoudig en duidelijk en gebaseerd op data. Het is natuurlijk Amerikaans gericht, wat betekent dat er meer creditcarddiefstal en andere subtiele verschillen met Europa zijn, maar het grotere geheel is interessant en relevant.

Omdat het rapport de getallen met weinig context biedt, proberen we erin te duiken, vergelijken we tussen 2016 en 2017, kijken we naar een aantal anomalieën, interessante weetjes en bieden we context. We hopen dat dit helpt.

Houd rekening met het volgende: het gaat om criminaliteit. Niet over aanvallen van natiestaten, spionage, hacktivisme enzovoort. Criminelen zijn onze meest voorspelbare tegenstander. Het gaat hen om het geld en ze kiezen voor zogenaamd laaghangend fruit en bewezen technologieën. Ten tweede zijn deze aantallen alleen gemelde misdaden, wat betekent dat “laagrenderige” criminaliteitscijfers waarschijnlijk minder worden gemeld dan dat ze zijn gebeurd.

Kijk eerst naar de cijfers

Laten we naar de lijst kijken, gesorteerd op een cumulatief verlies in dollars. De top 4 bevat BEC (CEO-fraude), Romance-fraude, Niet-betaling, Investering. Het overtreden van persoonsgegevens is de eerste met een technische component op nummer 5. Creditcardfraude op nummer 9 is het eerste geautomatiseerde misdaadtype in de lijst. Malware en ransomware staan op nummer 24 en 25. Dit betekent voor criminelen, te oordelen naar de aantallen, dat er 24 betere manieren zijn om geld te verdienen dan met ransomware. Misschien laten daarom onze Cyber Defense Centers zien dat ransomware langzaam maar zeker wordt opgeschort door cryptojacking sinds januari van dit jaar.

De totale gerapporteerde verliezen zijn, als wij ze optellen, iets meer dan 1,7 miljard dollar, hoewel IC3 1,4 miljard dollar rapporteert. Misschien omdat de lijst sommige dingen verdubbelt. BEC is verantwoordelijk voor 39% van deze verliezen. Romantiekfraude is nog eens 12%, en de overige 49% verdeeld over 31 andere soorten misdaad.

Sum of loss FBI Report

Op basis van individuele klachten is de taart anders gesneden. Wanneer mensen met een scam te maken hebben, zullen zij je waarschijnlijk een van de twee verhalen vertellen: de meest voorkomende over hoe ze online iets kochten, maar nooit de goederen kregen. De tweede over hoe hun persoonlijke gegevens werden gestolen of gelekt.

Sum nr of victims - FBI Report

Criminele ‘money makers’

Welke is het meest rendabele aanvalstype? Om enig inzicht te krijgen, hebben wij het totale verlies per type misdaad gedeeld door het aantal gemelde incidenten. Aan de lage kant, als je tieners aan het scammen bent, verdien je misschien een paar tientjes (en word je een ellendig persoon in het proces), terwijl je met CEO-fraude bij de grote ondernemingen gemiddeld $43,094 verdient. Investeringsfraude is een aanvulling op de top 3 op nummer 2 (gemiddeld $31.351), en corporate gegevensschending op nummer 3, met een gemiddelde van $16.101.

Avg loss per victim - FBI Report

Het is duidelijk dat dit niet betekent dat elke crimineel zal stoppen met wat zij doen en morgen zal weglopen. Voor aanvallen van het type ‘social engineering’ is tijd, moeite en ijver vereist, terwijl sommige van de geautomatiseerde malware-aanvallen in de buurt van ‘fire-and-forget’ zijn. Het hangt allemaal af van de werkethiek van de misdadigers en hun risicobereidheid. Elk voor de zijne.

Verlies, winstgevendheid en volume

Vervolgens wilden wij de 33 soorten misdrijven visualiseren in één grafiek; het aantal aanvallen versus gemiddeld verlies. De datapunten worden gesorteerd op totaal verlies (en dus de ranglijst van de FBI). We observeren vier kwadranten; de gevaarlijkste is leeg: aanvallen met een hoge opbrengst die veel voorkomen. De constante koeien zijn BEC en beleggingsfraude. Hoogstwaarschijnlijk gebeurt er niet-betaling, hoewel u waarschijnlijk geen slaap zult verliezen. Romantiekfraude zit mooi in het midden en vormt blijkbaar een evenwichtige aanval, omdat het de hoofdstroom regeert (en sommige zeldzame aanvallen worden zelden gemeld).

Cash cow - FBI Report

Veranderingen van vorig jaar door verlies

De top 4 (BEC, Romance-fraude, Niet-betaling, Investeringsfraude) veranderde niet. De totale gemelde misdaadverliezen stegen van $1.6B naar $ 1.7B (met het voorbehoud, FBI zelf vermeldt 1.4B). Zou dit een muziektop 33 zijn, het zou een saaie worden, met weinig movers en shakers. Tech-support oplichting op nummer 17 (van 22), en civiele kwesties van 10 naar 21. Dit is de grootste anomalie die we konden vinden, omdat IC3 meldt dat de totale verliezen op de civiele kwesties met 90% zijn gedaald terwijl het aantal slachtoffers bijna is hetzelfde, rond de 1000. We vermoeden dat een cijfer verschoven is in de IC3-nummers.

2017 Cyber Crime Type

Loss

Nr of victims

1 BEC/EAC $676,151,185 (+$315,637,224) 15690
2 Confidence Fraud/Romance $211,382,989 (-$8,424,771) 15372
3 Non-Payment/Non-Delivery $141,110,441 (+$2,882,159) 84079
4 Investment $96,844,144 (-$26,563,853) 3089
5 Personal Data Breach ↑(8th) $77,134,865 (+$17,996,713) 30904
6 Identity Theft ↑(9th) $66,815,298 (+$7,897,900) 17636
7 Corporate Data Breach ↓ (5th) $60,942,306 (-$34,927,684) 3785
8 Advanced Fee ↓ (7th) $57,861,324 (-$2,623,249) 16368
9 Credit Card Fraud ↑(12th) $57,207,248 (+$9,019,255) 15220
10 Real Estate/Rental ↑(13th) $56,231,333 (+$8,355,568) 9645
11 Overpayment $53,450,830 (-$2,554,006) 23135
12 Employment ↑(14th) $38,883,616 (-$1,633,989) 15784
13 Phising/Vishing/Smishing/Pharming ↑(15th) $29,703,421 (-$1,976,030) 25344
14 Other ↓ (6th) $23,853,704 (-$49,238,397) 14023
15 Lottery/Sweepstakes ↑(17th) $16,835,001 (-$4,448,768) 3012
16 Extortion ↑(18th) $15,302,792 (-$509,045) 14938
17 Tech Support ↑(22nd) $14,810,080 (+$7,003,664) 10949
18 Misrepresentation ↑(19th) $14,580,907 (+$855,674) 5437
19 Harassment/Threats of Violence ↓ (16th) $12,569,185 (-$9,436,470) 16194
20 Government Impersonation $12,467,380 (+$188,666) 9149
21 Civil Matter ↓ (10th) $5,766,550 (-$51,922,005) 1057
22 IPR/Copyright and Counterfeit ↑(23rd) $5,536,912 (-$1,292,555) 2644
23 Malware/Scareware/Virus** ↑(24th) $5,003,434 (-$485,238) 3089
24 Ransomware ↑(25th) $2,344,365 (-$86,896) 1783
25 Denial of Service/TDoS ↓ (21st) $1,466,195 (-$9,747,371) 1201
26 Charity ↑(27th) $1,405,460 (-$254,992) 436
27 Health Care Related ↑(29th) $925,849 (-$69,810) 406
28 Re-shipping ↓ (26th) $809,746 (-$1,122,275) 1025
29 Gambling ↑(30th) $598,853 (+$308,160) 203
30 Crimes Against Children ↑(32nd) $46,411 (-$32,762) 1300
31 Hacktivist ↑(33rd) $20,147 (-$35,353) 158
32 Terrorism ↓ (31st) $18,926 (-$201,009) 177
33 No Lead Value ↑(34th) $0 (-) 20241

Wijzigingen vorig jaar door het aantal klachten

Het geeft een ander beeld, als wij de nummers sorteren op het aantal klachten. De meeste aanvallen leveren veel minder op dan de hierboven genoemde top drie, het gemiddelde over alle aanvallen is trouwens iets meer dan $4.500. Dat gezegd hebbende, voor de top 3: Niet-betaling levert gemiddeld $1.678 op voor de crimineel, een gemiddelde inbreuk van persoonsgegevens bijna $2.500 en Phishing gemiddeld iets meer dan $1.100. Het lijkt erop dat de reguliere internetcrimineel nog steeds zin heeft in deze bedragen op het middenniveau. Misschien strijden hun bewezen manieren om het geld wit te wassen deze eetlust, of misschien zijn criminelen in de B-liga’s gewoon tevreden om het zo te doen.

2017 Cyber Crime Type

Nr of victims

Loss

1 Non-Payment/Non-Delivery 84079 (+3050) $141,110,441
2 Personal Data Breach 30904 (+3331) $77,134,865
3 Phising/Vishing/Smishing/Pharming ↑ (4th) 25344 (+5879) $29,703,421
4 Overpayment ↓ (3rd) 23135 (-2581) $53,450,830
5 No Lead Value ↑ (12th) 20241 (+6447) $0
6 Identity Theft ↑ (7th) 17636 (+758) $66,815,298
7 Advanced Fee ↑ (10th) 16368 (+1293) $57,861,324
8 Harassment/Threats of Violence 16194 (-191) $12,569,185
9 Employment ↓ (5th) 15784 (-1603) $38,883,616
10 BEC/EAC ↑ (16th) 15690 (+3685) $676,151,185
11 Confidence Fraud/Romance 15372 (+826) $211,382,989
12 Credit Card Fraud ↓ (9th) 15220 (-675) $57,207,248
13 Extortion ↓ (6th) 14938 (-2208) $15,302,792
14 Other ↓ (13th) 14023 (+1404) $23,853,704
15 Tech Support ↑ (17th) 10949 (+99) $14,810,080
16 Real Estate/Rental ↓ (14th) 9645 (-2929) $56,231,333
17 Government Impersonation ↓ (15th) 9149 (-3195) $12,467,380
18 Misrepresentation 5437 (+1) $14,580,907
19 Corporate Data Breach ↑ (20th) 3785 (+382) $60,942,306
20 Investment ↑ (24th) 3089 (+892) $96,844,144
21 Malware/Scareware/Virus** 3089 (+306) $5,003,434
22 Lottery/Sweepstakes ↓ (19th) 3012 (-1219) $16,835,001
23 IPR/Copyright and Counterfeit 2644 (+72) $5,536,912
24 Ransomware ↓ (22nd) 1783 (-1000) $2,344,365
25 Crimes Against Children ↑ (26th) 1300 (+70) $46,411
26 Denial of Service/TDoS ↑ (28th) 1201 (+222) $1,466,195
27 Civil Matter 1057 (-13) $5,766,550
28 Re-shipping ↑ (29th) 1025 (+132) $809,746
29 Charity ↑ (30th) 436 (-1) $1,405,460
30 Health Care Related ↑ (31th) 406 (+37) $925,849
31 Gambling ↑ (33rd) 203 (+66) $598,853
32 Terrorism 177 (-118) $18,926
33 Hacktivist ↑ (34th) 158 (+45) $20,147

Een paar laatste gedachten

Van 2016 tot 2017 is er niet veel veranderd. Ransomware is niet de grote criminele geldmaker die mensen denken dat het is, en in 2017 is dit bevestigd. Sommige cijfers lijken contra-intuïtief te zijn: onze observaties in ons Cyber ​​Defense Center laten bijvoorbeeld zien hoe het aantal malware-infecties gestaag toeneemt. Een verklaring hiervoor is dat organisaties malware (zoals ransomware en crypto-mijnwerkers) zien als operationele overlast. Ze hebben hun operationele verliezen verminderd, maar ze gaan niet door met de wetshandhaving. Vooral in grotere organisaties, met meerdere malware-infecties per dag, is dit logisch. Ten tweede wordt voor aanvallen zoals ransomware de impact meer bepaald door collateral damage in plaats van wat de criminelen maken.

De hoogste bedragen worden niet gestolen met hacking en tools, maar met social engineering. Het grootste deel van de internetcriminaliteit werd gedaan in een middensegment, criminelen die een paar duizend van u willen beroven en het op traditionele manieren witwassen. BEC was en het is de grootste geldmaker. Het laat zien dat, ondanks onze inspanningen om veerkrachtiger te worden, criminelen gretig gebruik maken van datgene wat zo moeilijk te patchen is: ons gedrag.

Links

Gegevensbronnen van FBI IC3, samengesteld uit de FBI-rapporten door Glenn Fryklund, analyse door Glenn Fryklund en Eward Driehuis.

2018-06-14T12:43:07+00:007 juni 2018|
SecureLink Netherlands