Fique atento a esses 5 tipos de golpes BEC

Qual é a maior ameaça cibernética que as empresas enfrentam? Não é o ransomware, embora esse tipo de ataque costume monopolizar as manchetes. É o comprometimento de e-mails corporativos (BEC). Também conhecido como comprometimento de contas de e-mail (EAC), o BEC pode levar a perdas comerciais potencialmente devastadoras. Infelizmente, a natureza camaleônica do BEC torna difícil para a maioria das vítimas identificá-lo. Esse é um problema sério, pois esse ataque pode causar danos enormes à receita, à reputação e à produtividade de uma empresa em pouco tempo. Esta análise do complexo mundo do BEC ajudará você a desenvolver e manter uma postura defensiva sólida contra a ameaça cibernética mais onerosa da atualidade.

Pagamento urgente exigido ou golpes envolvendo faturas

A variedade mais comum de ataque BEC é o golpe da fatura ou do pagamento urgente exigido. Nesse cenário, os criminosos se passam por representantes de uma empresa ou órgão governamental e informam à vítima que uma fatura deve ser paga imediatamente para evitar uma consequência negativa, como a interrupção do serviço telefônico. Normalmente, eles solicitam uma transferência bancária para uma conta bancária fraudulenta, mas, às vezes, os criminosos pedem que o pagamento seja feito por meio de um cartão-presente ou cartão pré-pago.

Exemplos

• O FBI recebeu diversas denúncias de fraudes envolvendo faturas do tipo BEC relacionadas à COVID-19, direcionadas a grandes organizações da área da saúde. As vítimas receberam mensagens alegando que uma fatura falsa deveria ser paga imediatamente para que a organização recebesse uma remessa de suprimentos médicos ou vacinas extremamente necessários. As vítimas foram instruídas a efetuar o pagamento por transferência bancária. É claro que nenhum suprimento chegou a esses infelizes prestadores de serviços de saúde.
• Tanto o Facebook quanto o Google foram vítimas de golpes envolvendo faturas perpetrados pelos mesmos cibercriminosos, o que resultou em perdas coletivas de cerca de US$ 121 milhões. O lituano Evaldas Rimasauskas e seus cúmplices criaram uma empresa falsa que utilizava o nome de um fornecedor real de hardware, a “Quanta Computer”. O grupo então apresentou ao Facebook e ao Google faturas fraudulentas, que foram prontamente pagas — diretamente em contas bancárias controladas pelos criminosos.

Golpes envolvendo a falsificação de identidade de executivos

Os criminosos podem se passar por um executivo da empresa da vítima ou de outra organização para induzi-la a baixar um documento malicioso, enviar dinheiro, fornecer informações confidenciais, como dados financeiros, ou ajudá-los a acessar sistemas e dados restritos.

Exemplos

• Na fabricante de brinquedos Mattel, cibercriminosos que se passavam por executivos de uma empresa chinesa induziram um executivo a aprovar um pagamento internacional no valor de US$ 3 milhões para sua empresa falsa na China. O executivo logo descobriu que a empresa chinesa não existia e que havia transferido esse dinheiro para os cibercriminosos.
• A Pathé, uma empresa francesa do setor cinematográfico, sofreu um ataque do tipo BEC, no qual os cibercriminosos se passaram pelo CEO da empresa. Os criminosos se passaram por executivos da divisão holandesa da empresa usando um endereço de e-mail semelhante ao domínio legítimo da empresa, pathe.com. Os fraudadores convenceram os executivos a transferir fundos para uma “nova” (fraudulenta) conta bancária para pagar pela suposta aquisição de uma empresa em Dubai, o que resultou em um prejuízo de US$ 21 milhões.

Golpes por meio de informações falsas

 Em um cenário de falsificação de identidade, os criminosos têm como alvo funcionários de determinados departamentos com a intenção de induzi-los a fornecer informações confidenciais ou efetuar pagamentos. Eles podem se passar por autoridades governamentais ou até mesmo por executivos e colegas da própria organização da vítima.

Exemplos

• A instituição de caridade Save the Children sofreu um prejuízo de US$ 1 milhão devido a um golpe do tipo BEC. Nesse golpe, o invasor conseguiu acessar a conta de e-mail de um funcionário e, em seguida, usou-a para enviar faturas falsas e outros documentos ao departamento de contabilidade da instituição, alegando que o dinheiro era necessário para pagar por painéis solares inexistentes destinados a uma clínica no Paquistão. O departamento de contabilidade não suspeitou de nada, pois as faturas vieram de um endereço confiável.
• Em um incidente ocorrido no Snapchat, criminosos entraram em contato com um funcionário com acesso privilegiado do departamento de recursos humanos da empresa. Ao se passarem pelo CEO e solicitarem informações para fins comerciais de rotina, os cibercriminosos conseguiram induzir o funcionário a enviar dados financeiros confidenciais, incluindo detalhes da folha de pagamento de funcionários atuais e ex-funcionários. A gigante da tecnologia Ubiquiti Networks foi vítima de um ataque BEC e sofreu prejuízos de US$ 46 milhões em 2015, depois que fraudadores se passando por funcionários convenceram outros funcionários do departamento financeiro a enviar-lhes dinheiro sob pretextos que pareciam legítimos.

Golpes envolvendo cartões-presente

A urgência é uma característica marcante dos golpes envolvendo cartões-presente do tipo BEC. Os criminosos assustam suas vítimas, por exemplo, dizendo que o fornecimento de energia elétrica da empresa será cortado por falta de pagamento, a menos que paguem a conta imediatamente com um cartão-presente. A Comissão Federal de Comércio dos EUA apresenta vários exemplos de cenários de golpes envolvendo cartões-presente com os quais já se deparou.

• A vítima recebe um e-mail que se apresenta como proveniente de um órgão governamental, geralmente a Receita Federal dos EUA ou a Administração da Previdência Social.
• Eles alegam que a vítima ou a empresa da vítima deve pagar impostos ou uma multa e que enfrentará consequências graves caso o pagamento não seja efetuado imediatamente.
• Um cibercriminoso envia uma mensagem fingindo ser do suporte técnico da Apple ou da Microsoft, alegando que há algum problema nos sistemas ou serviços da empresa e que a vítima deve pagar para que o problema seja resolvido.
• Em um golpe comum e assustador envolvendo cartões-presente, os criminosos se passam por representantes de uma empresa de serviços públicos, como uma concessionária de energia elétrica, e ameaçam cortar o serviço caso a vítima não pague imediatamente.
• Os cibercriminosos se fazem passar por clientes que alegam ter enviado um pagamento incorreto e que têm direito a receber uma restituição, chegando, às vezes, a ameaçar com ações judiciais caso o “pagamento a maior” não seja devolvido rapidamente

Fraude de credenciais ou de informações

Um golpe do tipo BEC envolvendo o comprometimento de credenciais começa quando os criminosos pedem à vítima que forneça credenciais, alegando que perderam as credenciais que já lhes haviam sido fornecidas ou que não receberam as credenciais corretas para concluir uma tarefa. Ambas as variantes levam ao mesmo resultado — um criminoso induz um funcionário a conceder-lhe acesso a sistemas, contas e dados aos quais ele não deveria ter acesso.

Exemplos

• O Twitter foi vítima de um ataque do tipo BEC. Nesse incidente, criminosos que se passavam por prestadores de serviços de manutenção entraram em contato com funcionários do Twitter. Eles convenceram um funcionário do Twitter de que havia ocorrido uma confusão e que não haviam recebido as credenciais corretas para acessar um sistema que precisava de reparos. Após obterem as credenciais de acesso do funcionário crédulo, os cibercriminosos conseguiram assumir o controle de contas pertencentes a celebridades, incluindo Donald Trump e Elon Musk, e usá-las para fins ilícitos.
• Em fevereiro de 2021, o renomado empresário Obinwanne Okeke foi condenado a 10 anos de prisão por seu envolvimento em um esquema de BEC que resultou em prejuízos de pelo menos US$ 11 milhões para suas vítimas. Ao utilizar e-mails de phishing para obter as credenciais de login de executivos (incluindo o diretor financeiro da empresa britânica Unatrac Holding), ele conseguiu um acesso direto para realizar um ataque de BEC.

Graphus protege as empresas contra o risco de BEC

GraphusA segurança de e-mail baseada em IA é uma defesa poderosa contra ameaças de BEC como essas e outros ataques relacionados a phishing. Em comparação com a proteção integrada de e-mail ou um SEG, soluções automatizadas de segurança de e-mail baseadas em API, como o Graphus , impedem que40% mais mensagens de spear phishingcheguem à caixa de entrada de um funcionário. Veja como:

• O TrustGraph é um poderoso escudo entre as caixas de entrada dos funcionários e as mensagens maliciosas. Essa tecnologia proprietária utiliza mais de 50 pontos de dados distintos para identificar mensagens sofisticadas de phishing, inclusive ataques de dia zero.
• O EmployeeShield exibe uma caixa brilhante e destacada nas mensagens suspeitas, lembrando os funcionários de que devem ter cuidado. Os funcionários podem classificar uma mensagem como legítima ou maliciosa com um único clique.
• O Phish911 facilita aos funcionários a denúncia de qualquer mensagem que considerem insegura. Quando um funcionário denuncia um e-mail potencialmente malicioso, a mensagem é imediatamente removida das caixas de entrada de todos.
• Implantação simples e integração fácil por meio de API com o Microsoft 365 e o Google Workspace
• Metade do preço da concorrência