Achten Sie auf diese 5 Arten von BEC-Betrug

Was ist die größte Cyberbedrohung für Unternehmen? Es ist nicht Ransomware, auch wenn diese meist die Schlagzeilen beherrscht. Es ist „Business Email Compromise“ (BEC). BEC, manchmal auch als „Email Account Compromise“ (EAC) bezeichnet, kann zu potenziell verheerenden geschäftlichen Verlusten führen. Leider macht es die chamäleonartige Natur von BEC für die meisten Opfer schwierig, den Angriff zu erkennen. Das ist ein ernstes Problem, da dieser Angriff dem Umsatz, dem Ruf und der Produktivität eines Unternehmens schnell massiven Schaden zufügen kann. Dieser Einblick in die komplexe Welt von BEC wird Ihnen helfen, eine starke Verteidigungsstrategie gegen die derzeit kostspieligste Cyberbedrohung zu entwickeln und aufrechtzuerhalten.

Dringende Zahlungsaufforderung oder Rechnungsbetrug

Die häufigste Form eines BEC-Angriffs ist der Betrug mit Rechnungen oder dringenden Zahlungsaufforderungen. In diesem Szenario geben sich die Betrüger als Vertreter eines Unternehmens oder einer Behörde aus und teilen dem Opfer mit, dass eine Rechnung unverzüglich beglichen werden müsse, um negative Folgen – wie beispielsweise die Unterbrechung des Telefonanschlusses – zu vermeiden. In der Regel verlangen sie eine Überweisung auf ein betrügerisches Bankkonto, doch manchmal fordern die Betrüger auch die Zahlung per Geschenkkarte oder Geldkarte.

Beispiele

• Das FBI erhielt zahlreiche Meldungen über COVID-19-bezogene BEC-Rechnungsbetrugsfälle, die sich gegen große Organisationen im Gesundheitswesen richteten. Die Opfer erhielten Nachrichten, in denen behauptet wurde, eine gefälschte Rechnung müsse unverzüglich beglichen werden, damit die Organisation eine Lieferung dringend benötigter medizinischer Hilfsgüter oder Impfstoffe erhalten könne. Die Opfer wurden angewiesen, den Betrag per Überweisung zu begleichen. Selbstverständlich erreichten diese Hilfsgüter die betroffenen Gesundheitsdienstleister niemals.
• Sowohl Facebook als auch Google fielen Rechnungsbetrügereien zum Opfer, die von denselben Cyberkriminellen verübt wurden und zu Gesamtverlusten in Höhe von rund 121 Millionen US-Dollar führten. Der litauische Staatsbürger Evaldas Rimasauskas und seine Komplizen gründeten eine Scheinfirma, die den Namen eines echten Hardware-Lieferanten, „Quanta Computer“, verwendete. Die Gruppe legte Facebook und Google daraufhin gefälschte Rechnungen vor, die von den Unternehmen umgehend beglichen wurden – direkt auf Bankkonten, die von den Betrügern kontrolliert wurden.

Betrugsmaschen unter Vortäuschung einer Führungsposition

Kriminelle geben sich möglicherweise als Führungskraft im Unternehmen des Opfers oder in einer anderen Organisation aus, um das Opfer dazu zu verleiten, ein schädliches Dokument herunterzuladen, ihnen Geld zu überweisen, ihnen vertrauliche Informationen wie Finanzdaten preiszugeben oder ihnen Zugang zu geschützten Systemen und Daten zu verschaffen.

Beispiele

• Beim Spielzeughersteller Mattel täuschten Cyberkriminelle, die sich als Führungskräfte eines chinesischen Unternehmens ausgaben, einen leitenden Angestellten und brachten ihn dazu, eine Offshore-Zahlung in Höhe von 3 Millionen Dollar an ihre gefälschte Firma in China zu genehmigen. Der leitende Angestellte stellte bald fest, dass das chinesische Unternehmen gar nicht existierte und dass er das Geld an Cyberkriminelle überwiesen hatte.
• Pathé, ein französisches Kinounternehmen, wurde Opfer eines BEC-Angriffs, bei dem sich Cyberkriminelle als CEO des Unternehmens ausgaben. Die Betrüger gaben sich gegenüber den Führungskräften der niederländischen Niederlassung des Unternehmens unter Verwendung einer E-Mail-Adresse aus, die der legitimen Domain „pathe.com“ ähnelte. Die Betrüger überzeugten die Führungskräfte, Gelder auf ein „neues“ (betrügerisches) Bankkonto zu überweisen, um die angebliche Übernahme eines Unternehmens in Dubai zu finanzieren, was zu einem Verlust von 21 Millionen US-Dollar führte.

Betrugsmaschen durch falsche Angaben

 Bei einem Betrugsversuch nehmen Kriminelle Mitarbeiter bestimmter Abteilungen ins Visier, um sie dazu zu verleiten, vertrauliche Informationen preiszugeben oder Zahlungen zu leisten. Dabei geben sie sich möglicherweise als Regierungsbeamte oder sogar als Führungskräfte und Kollegen innerhalb der Organisation des Opfers aus.

Beispiele

• Die Hilfsorganisation „Save the Children“ verlor durch einen BEC-Betrug 1 Million Dollar. Bei diesem Betrug gelang es dem Angreifer, Zugriff auf das E-Mail-Konto eines Mitarbeiters zu erlangen, und nutzte dieses anschließend, um gefälschte Rechnungen und andere Dokumente an die Buchhaltungsabteilung der Organisation zu senden, in denen behauptet wurde, das Geld werde zur Bezahlung nicht existierender Solarmodule für eine Klinik in Pakistan benötigt. Die Buchhaltungsabteilung schöpfte keinen Verdacht, da die Rechnungen von einer vertrauenswürdigen Adresse stammten.
• Bei einem Vorfall bei Snapchat kontaktierten Kriminelle einen Mitarbeiter mit Zugriffsrechten in der Personalabteilung des Unternehmens. Indem sie sich als CEO ausgaben und vorgaben, Informationen für routinemäßige geschäftliche Zwecke anzufordern, gelang es den Cyberkriminellen, den Mitarbeiter dazu zu verleiten, ihnen sensible Finanzdaten zu übermitteln, darunter Gehaltsdaten von aktuellen und ehemaligen Mitarbeitern. Der Technologieriese Ubiquiti Networks fiel 2015 einem BEC-Angriff zum Opfer und erlitt Verluste in Höhe von 46 Millionen US-Dollar, nachdem Betrüger, die sich als Mitarbeiter ausgaben, andere Mitarbeiter der Finanzabteilung dazu überredeten, ihnen unter vorgeblich legitimen Vorwänden Geld zu überweisen.

Betrugsfälle mit Geschenkkarten

Dringlichkeit ist ein typisches Merkmal von BEC-Betrugsfällen mit Geschenkkarten. Betrüger versetzen ihre Opfer in Angst und Schrecken, indem sie ihnen beispielsweise mitteilen, dass die Stromversorgung ihres Unternehmens wegen Zahlungsrückständen unterbrochen wird, sofern sie ihre Rechnung nicht umgehend per Geschenkkarte begleichen. Die US-amerikanische Federal Trade Commission nennt mehrere Beispiele für Betrugsszenarien mit Geschenkkarten, auf die sie gestoßen ist.

• Das Opfer erhält eine E-Mail, die angeblich von einer Regierungsbehörde stammt, häufig vom US-Finanzamt (Internal Revenue Service) oder der Sozialversicherungsbehörde (Social Security Administration).
• Sie behaupten, dass das Opfer oder dessen Unternehmen Steuern oder eine Geldstrafe zahlen müsse und mit schwerwiegenden Konsequenzen zu rechnen habe, wenn diese nicht umgehend beglichen würden.
• Ein Cyberkrimineller versendet eine Nachricht, die vorgibt, vom technischen Support von Apple oder Microsoft zu stammen, und in der behauptet wird, dass ein Problem mit den Systemen oder Diensten des Unternehmens vorliege und das Opfer für die Behebung dieses Problems bezahlen müsse.
• Bei einem weit verbreiteten, beängstigenden Betrugsmanöver mit Geschenkkarten geben sich Betrüger fälschlicherweise als Vertreter eines Versorgungsunternehmens, beispielsweise eines Stromversorgers, aus und drohen damit, die Versorgung zu unterbrechen, wenn das Opfer nicht sofort zahlt.
• Cyberkriminelle geben sich als Kunden aus, die behaupten, eine falsche Zahlung getätigt zu haben und nun eine Rückerstattung zu erwarten, und drohen mitunter mit rechtlichen Schritten, wenn die „Überzahlung“ nicht umgehend zurückerstattet wird.

Betrug im Zusammenhang mit Zugangsdaten oder Informationen

Ein BEC-Betrug durch die Kompromittierung von Zugangsdaten beginnt damit, dass Angreifer das Opfer unter dem Vorwand auffordern, Zugangsdaten anzugeben, weil sie angeblich die bereits erhaltenen Zugangsdaten verlegt hätten oder nicht die richtigen Zugangsdaten erhalten hätten, um eine Aufgabe zu erledigen. Beide Varianten führen zum gleichen Ergebnis: Ein Angreifer bringt einen Mitarbeiter dazu, ihm Zugriff auf Systeme, Konten und Daten zu gewähren, auf die er eigentlich keinen Zugriff haben sollte.

Beispiele

• Twitter wurde Opfer eines BEC-Angriffs. Bei diesem Vorfall kontaktierten Kriminelle, die sich als Reparaturtechniker ausgaben, Mitarbeiter von Twitter. Sie überzeugten einen Twitter-Mitarbeiter davon, dass es zu einer Verwechslung gekommen sei und er nicht die richtigen Zugangsdaten für den Zugriff auf ein reparaturbedürftiges System erhalten habe. Nachdem sie die Zugangsdaten von dem leichtgläubigen Mitarbeiter erhalten hatten, konnten die Cyberkriminellen Konten von Prominenten, darunter Donald Trump und Elon Musk, übernehmen und diese für kriminelle Zwecke missbrauchen.
• Im Februar 2021 wurde der bekannte Unternehmer Obinwanne Okeke wegen seiner Beteiligung an einem BEC-Betrug zu zehn Jahren Haft verurteilt, der seinen Opfern Verluste in Höhe von mindestens 11 Millionen US-Dollar verursacht hatte. Durch den Einsatz von Phishing-E-Mails, mit denen er sich die Anmeldedaten von Führungskräften (darunter auch den Finanzvorstand des britischen Unternehmens Unatrac Holding) verschaffte, hatte er einen direkten Zugang für einen BEC-Angriff.

Graphus schützt Unternehmen vor der Gefahr von BEC

Graphus’ KI-gestützte E-Mail-Sicherheit ist ein wirksamer Schutz gegen BEC-Bedrohungen wie diese und andere Phishing-Angriffe. Im Vergleich zu integrierten E-Mail-Schutzfunktionen oder einem SEG verhindern automatisierte, API-basierte E-Mail-Sicherheitslösungen wie Graphus , dass40 % mehr Spear-Phishing-Nachrichtenden Posteingang eines Mitarbeiters erreichen. Und so funktioniert es:

• TrustGraph ist ein leistungsstarker Schutzschild zwischen den Posteingängen der Mitarbeiter und bösartigen Nachrichten. Diese firmeneigene Technologie nutzt mehr als 50 verschiedene Datenpunkte, um raffinierte Phishing-Nachrichten und sogar Zero-Day-Angriffe aufzudecken.
• EmployeeShield blendet bei verdächtigen Nachrichten ein helles, auffälliges Feld ein, das die Mitarbeiter zur Vorsicht mahnt. Mit einem einzigen Klick können die Mitarbeiter eine Nachricht als echt oder als bösartig kennzeichnen.
• Mit Phish911 können Mitarbeiter ganz einfach jede Nachricht melden, die ihnen verdächtig erscheint. Wenn ein Mitarbeiter eine potenziell bösartige E-Mail meldet, wird die Nachricht sofort aus den Posteingängen aller Beteiligten entfernt.
• Einfache Bereitstellung und mühelose Integration über die API mit Microsoft 365 und Google Workspace
• Zum halben Preis der Konkurrenz