Fraudeurs slaan steeds vaker toe, zorg dat u uw maatregelen op orde hebt

‘Business E-mail Compromise’ (BEC) is een geavanceerde fraudevorm die het e-mail kanaal misbruikt en zich richt op bedrijven. Een BEC-aanval begint met grondig voorwerk door de fraudeur.

De fraudeur heeft uw bedrijf in het vizier en speurt het web af op zoek naar e-mailadressen en sociale mediaprofielen van medewerkers. Zo vindt de fraudeur bedrijfsinformatie en nieuws over uw medewerkers of onderneming: publieke informatie die voor fraudeurs zeer waardevol is. Zo kunnen zij het taalgebruik beter aansluiten op de taal van het bedrijf dat zij als doelwit hebben gekozen.

De fraudeur doet zich vaak voor als iemand anders. Bijvoorbeeld door een e-mailadres te creëren dat sprekend lijkt op dat van de CEO, of door een bestaand e-mailadres te vervalsen. Of hij steelt het wachtwoord van een e-mailaccount via een gerichte phishing- of malware-aanval en logt met dit wachtwoord in op een e-mailaccount. Zo lijkt het net alsof de e-mail van een bekende komt. Het doel van de fraudeur is om vertrouwelijke bedrijfsinformatie los te peuteren en medewerkers over te halen geld over te maken naar bankrekeningnummers die hij beheert. Vaak zijn dit medewerkers die ook daadwerkelijk in staat zijn overboekingen te doen. De fraudeur kan misbruik maken van de onduidelijkheid en onrust die er momenteel heerst; veranderde processen, procedures en de gewijzigde manieren waarop er binnen een bedrijf wordt gecommuniceerd nu medewerkers thuis werken of ziek zijn.

BEC heeft een aantal varianten, de drie meest voorkomende beschrijven we hieronder.

1. Valse-factuurscam

U krijgt per e-mail een factuur van een leverancier met wie u al een tijd samenwerkt. U moet het bedrag overmaken naar een ander rekeningnummer dan normaal. In dit geval naar dat van de fraudeur.

2. CEO-fraude

De fraudeur doet zich voor als een hooggeplaatste medewerker van uw bedrijf, vaak een CEO. Deze ‘CEO’ stuurt een urgente e-mail, bijvoorbeeld over thuis werken in verband met het coronavirus en noemt de mogelijkheid om in te loggen op het “intranet” via een link. Op deze manier kan de fraudeur persoonlijke, financiële of zakelijke gegevens ontfutselen of malware installeren. Ook kan de ‘CEO’ uw medewerkers verzoeken om vertrouwelijke informatie over uw bedrijf prijs te geven.

3. E-mailaccount hacken en e-mail versturen

De fraudeur hackt het e-mailaccount van een medewerker en gaat hierin op zoek naar een factuur die verstuurd moet worden naar een partij waarmee u een relatie heeft. De fraudeur past het rekeningnummer op deze factuur aan, of vraagt de financiële afdeling van uw bedrijf om dit te doen. Zo komt de betaling bij de fraudeur terecht.

Het komt ook voor dat de fraudeur een bericht meestuurt met de factuur die nog uitgestuurd moet worden. Hierin staat dan dat het rekeningnummer recent is gewijzigd, met het verzoek of het bedrag naar dit nieuwe rekeningnummer kan worden overgemaakt. Soms stuurt de fraudeur vanuit een gehackt account berichten naar klanten van uw bedrijf, met de mededeling dat een eerdere betaling is mislukt. Er wordt gevraagd om het geld op een ander rekeningnummer te storten.

We hebben veel tips beschreven in onze white paper. De belangrijkste tips om geen slachtoffer te worden van een Business E-mail Compromise zijn:

• Fraudeurs kunnen de afwezigheid van bepaalde medewerkers misbruiken om een betaalopdracht uit te laten voeren. Stel regels op over wie een betaalopdracht mag uitvoeren, en volg deze regels altijd op. Zorg ervoor dat er altijd meerdere handtekeningen moeten worden gezet bij een betaalopdracht. Functiescheiding en dubbele autorisatie zijn hier goede tools voor; twee mensen zien altijd meer dan één. En voor een fraudeur is het moeilijker om twee medewerkers te misleiden.
• Als medewerkers een afwijkend betaalverzoek willen navragen bij bijvoorbeeld de CEO of een leverancier, geef dan aan dat ze dit via een ander kanaal moeten doen dan waarop ze het verzoek hebben ontvangen. Bijvoorbeeld door te bellen ter verificatie bij een e-mail in plaats van terug te e-mailen. En zorg ervoor dat de in uw systeem geregistreerde contactgegevens gebruikt worden.
• Leg rekeningnummers van, bijvoorbeeld, leveranciers vast in het adresboek en maak alleen naar deze rekeningnummers over. Stel een procedure op hoe deze rekeningnummers gewijzigd kunnen worden. Bijvoorbeeld door eerst telefonisch contact op te nemen.
• Geef medewerkers tips over het controleren van een e-mailadres bij een betaalopdracht. Soms wijkt een vals e-mailadres één letter af van het origineel, waardoor medewerkers deze fout eenvoudig over het hoofd zien.
• Richt een intern meldpunt in voor vreemde e-mails en verzoeken tot overboeking. Benoem iemand die dit soort e-mails verifieert en zo nodig direct actie onderneemt.

Meld de fraude aan ons via dit formulier.