Achten Sie auf diese 5 Arten von BEC-Betrug

Was ist die größte Cyber-Bedrohung für Unternehmen? Es ist nicht Ransomware, auch wenn diese in den Schlagzeilen meist im Vordergrund steht. Es ist Business Email Compromise (BEC). BEC, manchmal auch als EAC (Email Account Compromise) bezeichnet, kann zu potenziell verheerenden geschäftlichen Verlusten führen. Leider ist BEC aufgrund seiner chamäleonartigen Natur für die meisten Opfer schwer zu erkennen. Das ist ein ernstes Problem, da dieser Angriff schnell massive Schäden für den Umsatz, den Ruf und die Produktivität eines Unternehmens verursachen kann. Dieser Einblick in die komplexe Welt von BEC wird Ihnen helfen, eine starke Verteidigungsstrategie gegen die derzeit teuerste Cyber-Bedrohung zu entwickeln und aufrechtzuerhalten.   

Dringende Zahlungsaufforderung oder Rechnungsbetrug  

Die häufigste Art von BEC-Angriffen ist der Betrug mit gefälschten Rechnungen oder dringenden Zahlungsaufforderungen. In diesem Szenario geben sich Kriminelle als Vertreter eines Unternehmens oder einer Regierungsbehörde aus und teilen dem Opfer mit, dass eine Rechnung sofort bezahlt werden muss, um negative Folgen wie die Unterbrechung des Telefondienstes zu vermeiden. In der Regel verlangen sie eine Überweisung auf ein betrügerisches Bankkonto, aber manchmal fordern Kriminelle auch die Zahlung mit einer Geschenkkarte oder Geldkarte.  

Beispiele

• Das FBI erhielt zahlreiche Berichte über BEC-Rechnungsbetrug im Zusammenhang mit COVID-19, der sich gegen große Gesundheitseinrichtungen richtete. Die Opfer erhielten Nachrichten, in denen behauptet wurde, dass eine gefälschte Rechnung sofort bezahlt werden müsse, damit die Organisation eine Lieferung dringend benötigter medizinischer Produkte oder Impfstoffe erhalten könne. Die Opfer wurden angewiesen, per Banküberweisung zu zahlen. Natürlich wurden die bedauernswerten Gesundheitsdienstleister nie mit Medikamenten beliefert.  
• Sowohl Facebook als auch Google wurden Opfer von Rechnungsbetrug durch dieselben Cyberkriminellen, der zu Gesamtverlusten in Höhe von rund 121 Millionen US-Dollar führte. Der Litauer Evaldas Rimasauskas und seine Komplizen gründeten eine Scheinfirma, die den Namen eines echten Hardware-Lieferanten, „Quanta Computer“, verwendete. Die Gruppe legte Facebook und Google dann gefälschte Rechnungen vor, die diese umgehend bezahlten – direkt auf Bankkonten, die von den Betrügern kontrolliert wurden. 

Betrug mit der Identität einer Führungskraft  

Böswillige Akteure geben sich möglicherweise als Führungskraft des Unternehmens des Opfers oder einer anderen Organisation aus, um das Opfer dazu zu verleiten, ein schädliches Dokument herunterzuladen, Geld zu überweisen, sensible Informationen wie Finanzdaten preiszugeben oder ihnen Zugang zu geschützten Systemen und Daten zu verschaffen.  

Beispiele

• Beim Spielzeughersteller Mattel täuschten Cyberkriminelle, die sich als Führungskräfte eines chinesischen Unternehmens ausgaben, einen leitenden Angestellten, sodass dieser eine Offshore-Zahlung in Höhe von 3 Millionen Dollar an ihr gefälschtes Unternehmen in China genehmigte. Der leitende Angestellte stellte bald fest, dass das chinesische Unternehmen nicht existierte und dass sie das Geld an Cyberkriminelle überwiesen hatten.  
• Das französische Kinounternehmen Pathé wurde Opfer eines BEC-Angriffs, bei dem sich Cyberkriminelle als CEO des Unternehmens ausgaben. Die Betrüger gaben sich gegenüber den Führungskräften der niederländischen Niederlassung des Unternehmens mit einer E-Mail-Adresse aus, die der legitimen Domain pathe.com des Unternehmens ähnelte. Die Betrüger überzeugten die Führungskräfte, Geld auf ein „neues” (betrügerisches) Bankkonto zu überweisen, um die angebliche Übernahme eines Unternehmens in Dubai zu bezahlen, was zu einem Verlust von 21 Millionen Dollar führte.  

Betrug mit falschen Angaben 

 In einem Szenario mit falschen Angaben zielen die Täter auf Mitarbeiter bestimmter Abteilungen ab, um sie zur Weitergabe sensibler Informationen oder Zahlungen zu bewegen. Sie können sich als Regierungsbeamte oder sogar als Führungskräfte und Kollegen innerhalb des Unternehmens der Zielperson ausgeben.  

Beispiele

• Die Wohltätigkeitsorganisation Save the Children hat 1 Million Dollar durch BEC verloren. Bei diesem Betrug gelang es dem Angreifer, sich Zugang zum E-Mail-Konto eines Mitarbeiters zu verschaffen, das er dann nutzte, um gefälschte Rechnungen und andere Dokumente an die Buchhaltungsabteilung der Wohltätigkeitsorganisation zu senden, in denen er behauptete, dass das Geld für nicht existierende Solarpaneele für eine Klinik in Pakistan benötigt würde. Die Buchhaltungsabteilung schöpfte keinen Verdacht, da die Rechnungen von einer vertrauenswürdigen Adresse kamen. 
• Bei einem Vorfall bei Snapchat kontaktierten Kriminelle einen privilegierten Mitarbeiter der resources des Unternehmens. Indem sie sich als CEO ausgaben und Informationen für routinemäßige geschäftliche Zwecke anforderten, konnten die Cyberkriminellen den Mitarbeiter dazu verleiten, ihnen sensible Finanzdaten zu übermitteln, darunter Gehaltsdaten aktueller und ehemaliger Mitarbeiter. Der Technologieriese Ubiquiti Networks wurde Opfer eines BEC-Angriffs und erlitt 2015 Verluste in Höhe von 46 Millionen US-Dollar, nachdem Betrüger, die sich als Mitarbeiter ausgaben, andere Mitarbeiter der Finanzabteilung dazu überredeten, ihnen aus legitim klingenden Gründen Geld zu überweisen.  

Geschenkkartenbetrug  

Dringlichkeit ist ein Kennzeichen von BEC-Geschenkkartenbetrug. Betrüger machen ihren Opfern Angst, indem sie ihnen beispielsweise sagen, dass die Stromversorgung ihres Unternehmens wegen Nichtzahlung unterbrochen wird, wenn sie ihre Rechnung nicht sofort mit einer Geschenkkarte bezahlen. Die US-amerikanische Federal Trade Commission nennt mehrere Beispiele für Geschenkkartenbetrugsszenarien, mit denen sie konfrontiert wurde.  

• Das Ziel erhält eine E-Mail, die angeblich von einer Regierungsbehörde stammt, häufig vom US-Finanzamt (Internal Revenue Service) oder der Sozialversicherungsbehörde (Social Security Administration).  
• Sie behaupten, dass das Opfer oder das Unternehmen des Opfers Steuern oder eine Geldstrafe zahlen muss und mit schwerwiegenden Konsequenzen zu rechnen hat, wenn diese nicht sofort bezahlt werden.  
• Ein Cyberkrimineller versendet eine Nachricht, die vorgibt, support technischen support von Apple oder Microsoft zu stammen, und behauptet, dass etwas mit den Systemen oder Diensten des Unternehmens nicht in Ordnung sei und das Opfer für die Behebung des Problems bezahlen müsse.  
• Bei einem gängigen, beängstigenden Betrug mit Geschenkkarten geben sich Kriminelle fälschlicherweise als Vertreter eines Versorgungsunternehmens wie beispielsweise eines Stromversorgers aus und drohen mit der Unterbrechung der Versorgung, wenn das Opfer nicht sofort bezahlt.  
• Cyberkriminelle geben sich als Kunden aus, die behaupten, eine falsche Zahlung getätigt zu haben und ihnen Geld zu schulden, und drohen manchmal mit rechtlichen Schritten, wenn die "Überzahlung" nicht schnell zurückerstattet wird. 

Ausweis- oder Informationsbetrug  

Ein BEC-Betrug mit Kompromittierung von Anmeldedaten beginnt damit, dass böswillige Akteure das Opfer auffordern, Anmeldedaten anzugeben, unter dem Vorwand, dass sie bereits erhaltene Anmeldedaten verlegt haben oder dass sie nicht die richtigen Daten erhalten haben, um eine Aufgabe zu erledigen. Beide Varianten führen zum gleichen Ergebnis: Ein böser Akteur bringt einen Mitarbeiter dazu, ihm Zugang zu Systemen, Konten und Daten zu gewähren, für die er keine Berechtigung hat.  

Beispiele

• Twitter wurde Opfer eines BEC-Angriffs. Bei diesem Vorfall kontaktierten bösartige Akteure, die sich als Reparaturunternehmen ausgaben, Twitter-Mitarbeiter. Sie überzeugten einen Twitter-Mitarbeiter davon, dass es eine Verwechslung gegeben hatte und er nicht die richtigen Zugangsdaten für ein System erhalten hatte, das repariert werden musste. Nachdem sie die Zugangsdaten von dem leichtgläubigen Mitarbeiter erhalten hatten, konnten die Cyberkriminellen die Konten von Prominenten, darunter Donald Trump und Elon Musk, übernehmen und sie für schändliche Zwecke nutzen.  
• Im Februar 2021 wurde der bekannte Unternehmer Obinwanne Okeke wegen seiner Beteiligung an einem BEC-Betrug zu 10 Jahren Haft verurteilt, durch den seinen Opfern Verluste in Höhe von mindestens 11 Millionen US-Dollar entstanden waren. Mithilfe von Phishing-E-Mails verschaffte er sich die Anmeldedaten von Führungskräften (darunter auch der Finanzvorstand des britischen Unternehmens Unatrac Holding) und hatte so direkten Zugang zu einem BEC-Angriff. 

Graphus Unternehmen vor der Gefahr von BEC

Die KI-gestützte E-Mail-Sicherheit Graphusist ein leistungsstarker Schutz gegen BEC-Bedrohungen wie diese und andere Phishing-Angriffe. Im Vergleich zu integrierten E-Mail-Schutzfunktionen oder einem SEG Graphus automatisierte, API-basierte E-Mail-Sicherheitslösungen wie Graphus , dass40 % mehr Spear-Phishing-Nachrichtenden Posteingang eines Mitarbeiters erreichen. Und so funktioniert es:    

• TrustGraph ist ein leistungsstarker Schutzschild zwischen den Posteingängen der Mitarbeiter und bösartigen Nachrichten. Diese proprietäre Technologie nutzt mehr als 50 verschiedene Datenpunkte, um raffinierte Phishing-Nachrichten und sogar Zero-Day-Angriffe zu erkennen.     
• EmployeeShield zeigt bei verdächtigen Nachrichten ein helles, auffälliges Kästchen an, das sie zur Vorsicht mahnt. Die Mitarbeiter können eine Nachricht mit einem einzigen Klick als echt oder bösartig einstufen.     
• Phish911 macht es den Mitarbeitern leicht, jede Nachricht zu melden, die sie für nicht sicher halten. Wenn ein Mitarbeiter eine potenziell bösartige E-Mail meldet, wird die Nachricht sofort aus den Posteingängen aller Mitarbeiter entfernt.      
• Einfache Bereitstellung und mühelose Integration über API mit Microsoft 365 und Google Workspace 
• Halb so teuer wie die Konkurrenz