Pas op voor deze 5 soorten BEC-fraude

Wat is de grootste cyberdreiging voor bedrijven? Dat is niet ransomware, ook al haalt die vaak de krantenkoppen. Het is business email compromise (BEC). BEC, ook wel e-mailaccountcompromittering (EAC) genoemd, kan leiden tot potentieel verwoestende zakelijke verliezen. Helaas maakt het kameleontische karakter van BEC het voor de meeste slachtoffers moeilijk om het te herkennen. Dat is een ernstig probleem, omdat deze aanval snel enorme schade kan toebrengen aan de omzet, reputatie en productiviteit company. Dit kijkje in de complexe wereld van BEC helpt u bij het ontwikkelen en onderhouden van een sterke verdedigingshouding tegen de duurste cyberdreiging van dit moment.   

Dringend betaling vereist of oplichting met facturen  

De meest voorkomende vorm van BEC-aanvallen is de factuur- of spoedbetalingszwendel. In dit scenario doen kwaadwillenden zich voor als vertegenwoordigers van een company overheidsinstantie en vertellen ze het slachtoffer dat een factuur onmiddellijk moet worden betaald om negatieve gevolgen, zoals onderbreking van hun telefoondienst, te voorkomen. Meestal vragen ze om een overschrijving naar een frauduleuze bankrekening, maar soms vragen kwaadwillenden om betaling met een cadeaubon of geldkaart.  

Voorbeelden

• De FBI ontving veel meldingen van COVID-19-gerelateerde BEC-factuurfraude gericht op grote organisaties in de gezondheidszorg. Slachtoffers ontvingen berichten waarin werd beweerd dat een valse factuur onmiddellijk moest worden betaald zodat de organisatie een zending hoognodige medische voorraden of vaccins kon ontvangen. Slachtoffers werden geïnstrueerd om via een bankoverschrijving te betalen. Natuurlijk bereikten deze onfortuinlijke zorgverleners nooit de benodigde voorraden.  
• Zowel Facebook als Google werden het slachtoffer van factuurfraude door dezelfde cybercriminelen, wat resulteerde in een gezamenlijk verlies van ongeveer 121 miljoen dollar. De Litouwse staatsburger Evaldas Rimasauskas en zijn medeplichtigen richtten een company de naam van een echte hardwareleverancier, "Quanta Computer", gebruikte. De groep presenteerde vervolgens frauduleuze facturen aan Facebook en Google, die deze onmiddellijk betaalden – rechtstreeks op bankrekeningen die door de boeven werden beheerd. 

Oplichting tot imitator  

Kwaadwillende personen kunnen zich voordoen als een leidinggevende bij het company van het slachtoffer company een andere organisatie om het slachtoffer te verleiden een schadelijk document te downloaden, hen geld te sturen, hen gevoelige informatie zoals financiële gegevens te verstrekken of hen te helpen toegang te krijgen tot beperkte systemen en gegevens.  

Voorbeelden

• Bij speelgoedfabrikant Mattel hebben cybercriminelen zich voorgedaan als leidinggevenden van een Chinees company en een leidinggevende company om een offshore-betaling van 3 miljoen dollar aan hun nepbedrijf in China goed te keuren. De leidinggevende kwam er al snel achter dat het Chinese bedrijf niet bestond en dat ze het geld naar cybercriminelen hadden overgemaakt.  
• Pathé, een Franse company, werd het slachtoffer van een BEC-aanval waarbij cybercriminelen zich voordeden als de CEO company. De kwaadwillenden deden zich voor als leidinggevenden van de Nederlandse divisie companydoor een e-mailadres te gebruiken dat leek op het legitieme domein pathe.com company. De fraudeurs overtuigden de leidinggevenden om geld over te maken naar een 'nieuwe' (frauduleuze) bankrekening om de vermeende overname van een company Dubai te betalen, wat resulteerde in een verlies van 21 miljoen dollar.  

Oplichting door verkeerde voorstelling van zaken 

 In een scenario van een onjuiste voorstelling van zaken richten kwaadwillenden zich op werknemers in bepaalde afdelingen met de bedoeling hen te verleiden tot het verstrekken van gevoelige informatie of betalingen. Ze kunnen zich voordoen als overheidsfunctionarissen of zelfs als leidinggevenden en collega's binnen de organisatie van het doelwit.  

Voorbeelden

• De liefdadigheidsinstelling Save the Children verloor 1 miljoen dollar aan BEC. Bij die zwendel slaagde de aanvaller erin om toegang te krijgen tot het e-mailaccount van een werknemer en gebruikte dat vervolgens om valse facturen en andere documenten naar de boekhoudafdeling van het goede doel te sturen, met de bewering dat het geld nodig was om niet-bestaande zonnepanelen voor een kliniek in Pakistan te betalen. De boekhoudafdeling vermoedde niets omdat de facturen afkomstig waren van een vertrouwd adres. 
• Bij een incident bij Snapchat namen kwaadwillende personen contact op met een bevoorrechte medewerker van de resources company resources . Door zich voor te doen als de CEO die informatie vroeg voor een routineuze zakelijke aangelegenheid, konden cybercriminelen de medewerker misleiden en hem ertoe brengen gevoelige financiële gegevens te versturen, waaronder salarisgegevens van huidige en voormalige werknemers. Technologiegigant Ubiquiti Networks werd in 2015 het slachtoffer van een BEC-aanval en leed een verlies van 46 miljoen dollar nadat fraudeurs die zich voordeden als medewerkers andere medewerkers van de financiële afdeling hadden overgehaald om hen geld te sturen om legitiem klinkende redenen.  

Oplichting met cadeaubonnen  

Urgentie is een kenmerk van BEC-cadeaubonfraude. Kwaadwillenden maken hun slachtoffers bang door hen bijvoorbeeld te vertellen dat de elektriciteit companyhun companyzal worden afgesloten wegens wanbetaling, tenzij ze hun rekening onmiddellijk met een cadeaubon betalen. De Amerikaanse Federal Trade Commission geeft verschillende voorbeelden van scenario's van cadeaubonfraude die zij zijn tegengekomen.  

• Het doelwit ontvangt een e-mail die afkomstig lijkt te zijn van een overheidsinstantie, vaak de Amerikaanse belastingdienst (Internal Revenue Service) of de sociale Security (Social Security .  
• Ze beweren dat het slachtoffer of het company van het slachtoffer belasting of een boete company betalen en dat er ernstige gevolgen zullen volgen als dit niet onmiddellijk gebeurt.  
• Een cybercrimineel stuurt een bericht waarin hij zich voordoet als support technische support van Apple of Microsoft en zegt dat er iets mis is met de systemen of diensten companyen dat het slachtoffer moet betalen om dit te laten repareren.  
• Bij een veelvoorkomende, enge cadeaubonzwendel doen oplichters zich voor als vertegenwoordigers van een nutsbedrijf, zoals een company, en dreigen ze de dienstverlening stop te zetten als het slachtoffer niet onmiddellijk betaalt.  
• Cybercriminelen doen zich voor als klanten die beweren dat ze een verkeerde betaling hebben gedaan en geld tegoed hebben, en dreigen soms met juridische stappen als het "te veel betaalde" niet snel wordt teruggestort. 

Fraude met referenties of informatie  

Een credential compromise BEC-zwendel begint met slechte acteurs die het slachtoffer vragen om credentials te verstrekken onder het voorwendsel dat ze credentials die ze al hadden gekregen, verkeerd hebben opgeborgen of niet de juiste hebben gekregen om een taak uit te voeren. Beide varianten leiden tot hetzelfde resultaat - een kwaadwillende verleidt een werknemer om hem toegang te geven tot systemen, accounts en gegevens die hij niet zou mogen hebben.  

Voorbeelden

• Twitter is het slachtoffer geworden van een BEC-aanval. In dit incident namen kwaadwillenden die zich voordeden als reparatiebedrijven contact op met Twitter-medewerkers. Ze overtuigden een Twitter-medewerker ervan dat er een fout was gemaakt en dat ze niet de juiste gegevens hadden ontvangen om toegang te krijgen tot een systeem dat gerepareerd moest worden. Nadat ze de toegangsgegevens van de goedgelovige medewerker hadden verkregen, konden de cybercriminelen accounts van beroemdheden overnemen, waaronder Donald Trump en Elon Musk, en deze voor snode doeleinden gebruiken.  
• In februari 2021 werd de beroemde ondernemer Obinwanne Okeke veroordeeld tot 10 jaar gevangenisstraf voor zijn betrokkenheid bij een BEC-zwendel die zijn slachtoffers minstens 11 miljoen dollar aan schade opleverde. Door middel van phishing-e-mails wist hij de inloggegevens van bedrijfsleiders (waaronder de CFO van company Britse company Holding) te bemachtigen, waardoor hij een directe toegangspoort had tot een BEC-aanval. 

Graphus bedrijven tegen het gevaar van BEC

De AI-aangedreven e-mailbeveiliging Graphusbiedt krachtige bescherming tegen BEC-bedreigingen zoals deze en andere phishing-gerelateerde aanvallen. In vergelijking met ingebouwde e-mailbeveiliging of een SEG Graphus geautomatiseerde, API-gebaseerde e-mailbeveiligingsoplossingen zoals Graphus 40% meer spear phishing-berichtende inbox van een medewerker bereiken. Dit is hoe dat werkt:    

• TrustGraph is een krachtig schild tussen de inbox van werknemers en schadelijke berichten. Deze gepatenteerde technologie gebruikt meer dan 50 verschillende gegevenspunten om geavanceerde phishingberichten te ontdekken, zelfs zero-day aanvallen.     
• EmployeeShield geeft een helder, opvallend vak weer bij verdachte berichten om hen eraan te herinneren voorzichtig te zijn. Werknemers kunnen met één klik een bericht als echt of kwaadaardig aanmerken.     
• Phish911 maakt het eenvoudig voor werknemers om berichten te melden die zij niet veilig achten. Wanneer een werknemer een potentieel schadelijke e-mail meldt, wordt het bericht onmiddellijk uit ieders inbox verwijderd.      
• Eenvoudige implementatie en moeiteloze integratie via API met Microsoft 365 en Google Workspace 
• De helft van de prijs van de concurrentie