Omdat BEC-aanvallen afhankelijk zijn van social engineering, biedt traditionele beveiligingssoftware daar niet altijd bescherming tegen.

Business Email Compromise (BEC) is een snelgroeiende cyberbeveiligingsdreiging waarmee alle bedrijven, vooral kleine en middelgrote (MKB) te maken krijgen. Het Internet Crime Complaint Center (IC3) van de FBI meldde in hun Internet Crime Report 2020 dat ze 19.369 Business Email Compromise (BEC)-klachten behandelden, goed voor meer dan $ 1,8 miljard aan gecorrigeerde verliezen in de Verenigde Staten voor dat jaar.

BEC-aanvallen gebruiken voornamelijk e-mail, maar kunnen ook worden uitgevoerd via sms-berichten, voicemailberichten en zelfs telefoongesprekken. BEC-aanvallen zijn opmerkelijk omdat ze sterk afhankelijk zijn van zogenaamde 'social engineering'-technieken, wat betekent dat ze bedrog gebruiken tegen mensen.

BEC-aanvallen kunnen zeer effectief zijn en iedereen kan het slachtoffer worden, hoe rijk of geavanceerd ook. In februari 2020 verloor Barbara Corcoran - de Amerikaanse zakenvrouw, investeerder en jury van de realityshow "Shark Tank", bijna $ 400.000 in een BEC-oplichterij. Gelukkig kon ze dankzij snelle actie het geld terugkrijgen. Maar FBI-statistieken laten zien dat niet iedereen zoveel geluk heeft.

Omdat BEC-aanvallen zo sterk afhankelijk zijn van social engineering, biedt traditionele beveiligingssoftware daar niet altijd bescherming tegen. Dat betekent dat jij en je werknemers een belangrijke rol spelen bij de bescherming tegen deze aanvallen - en waarom het belangrijk is om te begrijpen wat BEC-aanvallen zijn en hoe ze werken.

Hoewel  BEC-aanvallen zich op veel manieren kunnen ontvouwen, komen ze allemaal neer op een eenvoudige formule. Een aanvaller zal proberen een werknemer ervan te overtuigen geld naar de aanvallers te sturen door zich voor te doen als iemand die de werknemer vertrouwt.

Aanvallers proberen hun kansen vaak te vergroten door twee strategieën te gebruiken. Ten eerste proberen ze hun aanval geloofwaardig te maken door de juiste keuze te maken in als wie ze zich voordoen. Ten tweede proberen ze een gevoel van urgentie te creëren, zodat het beoogde slachtofferde transactie minder snel in twijfel trekt en minder snel de juiste kanalen volgt voor betalingen die de zwendel zouden kunnen opvangen. Soms combineren aanvallers deze twee tactieken op een slimme manier voor de meeste effectiviteit.

Een voorbeeld van een type BEC-aanval dat we hebben gezien, is dat een werknemer een dringend bericht krijgt van de CEO of een andere leidinggevende op hoog niveau die zegt dat de werknemer een achterstallige factuur moet betalen of cadeaubonnen moet kopen voor een dringend bedrijfsevenement. Dit kunnen e-mail- of sms-berichten zijn, maar zelfs voicemailberichten en oproepen gemaakt met deep fake technology.

Bij een ander type BEC-aanval gebruiken de aanvallers valse en gecompromitteerde e-mailaccounts om een ​​werknemer ervan te overtuigen dat ze te maken hebben met een legitieme leverancier. De aanvallers kunnen verschillende e-mails uitwisselen met het beoogde slachtoffer om haar of hem ervan te overtuigen dat ze een echte verkoper zijn, en ze vervolgens een valse factuur sturen. Dit is hoe de aanval op de eerder genoemde Barbara Corcoran werd uitgevoerd.

Een derde type BEC-aanval is gericht op de loonlijst van bedrijven. Hierin imiteren de aanvallers werknemers en proberen ze de salarisadministratie van het bedrijf ertoe te brengen de directe stortingsinformatie van de werknemer naar hun eigen bankrekening te wijzigen. Deze aanvallen zijn subtieler en nemen meer tijd in beslag, maar kunnen zeer effectief zijn.

In bijna alle gevallen is het doel van BEC-aanvallers om op twee manieren aan geld te komen: elektronische overboeking (inclusief cryptocurrency) of cadeaubonnen. Hoewel het misschien verrassend is om cadeaubonnen te gebruiken voor een aanval als deze, hebben aanvallers ontdekt dat het een gemakkelijke manier is om geld over te maken en wit te wassen.

BEC-aanvallen zijn echt ouderwetse fraudeaanvallen die toevallig gebruik maken van de huidige technologie: we zagen dit soort oplichtingen lang voordat e-mail of voicemail bestonden. Omdat dit geen op technologie gebaseerde aanvallen zijn, betekent dit dat op technologie gebaseerde oplossingen niet zo effectief zullen zijn tegen deze aanvallen als tegen bijvoorbeeld ransomware. Een goed gemaakte BEC-e-mail is bijvoorbeeld moeilijk te onderscheiden van een legitieme e-mail van beveiligingssoftware, vooral als deze afkomstig is van het daadwerkelijke - maar gecompromitteerde - account van iemand die je vertrouwt.

Dit betekent dat de bescherming tegen BEC-aanvallen zich op twee dingen moet concentreren: jou en jouw medewerkers.

Allereerst, is het belangrijk dat jij en je medewerkers leren over BEC-aanvallen. Jullie moeten leren achterdochtig te zijn wanneer er plotseling een onverwachte e-mail komt van de CEO die zegt: "Ik wil dat je vandaag $ 5.000 aan cadeaubonnen koopt voor een verjaardagsfeest, stuur me de cijfers en vertel hier niemand over", dit gaat al een lange weg om deze aanvallen te voorkomen.

Ten tweede, versterk het belang van het verifiëren van betalingsverzoeken en het volgen van de vastgestelde regels voor het betalen van rekeningen, het wijzigen van informatie over directe stortingen en het kopen en verzenden van cadeaubonnen. Laat werknemers bijvoorbeeld weten dat ze een werknemer of leverancier moeten bellen wanneer deze om een betaling vragen. Zorg dat ze het telefoonnummer gebruiken uit jullie database en controleer of de factuur of het verzoek legitiem is voordat je iets anders doet.

Benadruk dat zelfs als verzoeken lijken te komen van belangrijke mensen binnen je bedrijf, werknemers dit nog steeds moeten verifiëren. Aanvallers proberen beoogde slachtoffers te overtuigen deze aanvallen geheim te houden om hun kans op succes te vergroten en jagen op de onwil van medewerkers om gezagsdragers te ondervragen. Maak duidelijk dat medewerkers in dit soort situaties vragen kunnen en moeten stellen.