Ați primit recent un e-mail de la „CEO” dvs. prin care vă cere să transferați bani către un „vânzător”? Nu o face! Este o fraudă a CEO-ului pe care o voi explica în detaliu.
Să începem asta cu o mică poveste de fundal.
Frauda CEO mi s-a întâmplat la aproape două luni după ce m-am alăturat tipstrick.ro ca scriitor cu normă întreagă.
Nu a fost evident imediat, deoarece escrocul folosea un nume de domeniu reputat Virgin Media ([email protected]), și am crezut că CEO-ul meu era cumva conectat la această companie de telecomunicații, deoarece ambele sunt situate în Regatul Unit.
Așadar, am răspuns la inițiala „Aș dori să-ți atribui o sarcină, ești liber?” pozitiv. Apoi, expeditorul a detaliat o sarcină care cuprinde un transfer de 24.610 INR (~300 USD) către un furnizor, ale cărei detalii ar fi fost împărtășite dacă aș fi fost de acord.
Dar asta m-a făcut puțin suspicios și i-am cerut expeditorului să-și dovedească identitatea înainte de a putea transfera ceva. Câteva e-mailuri mai târziu, fraudatorul a renunțat și am trimis conversația directorului meu actual și celulei IT Virgin Media.
Deși nu aveam nicio pregătire anterioară pentru a gestiona acest tip de fraudă, am fost norocos să nu cad în această capcană.
Dar nu ar trebui să ne bazăm pe purul noroc; în schimb, cunoașteți acest lucru din timp și educați-i pe alții.
Cuprins
CEO Fraud, alias Executive Phishing
Acest lucru face parte din spear phishing, un atac care vizează o anumită organizație sau unii dintre angajații acesteia. Va fi cunoscut ca un atac de phishing de vânătoare de balene dacă ținta este un angajat de profil înalt (precum un C-suite) al oricărei instituții.
Biroul Federal de Investigații, SUA, etichetează aceste escrocherii în conformitate cu Business Email Compromise (BEC) sau Email Account Compromise (EAC), care a reprezentat pierderi de aproape 2,4 miliarde de dolari în 2021, conform acestui raport pe Internet Crime.
Din punct de vedere geografic, Nigeria este țara numărul unu care găzduiește 46% dintre fraudele CEO, urmată de SUA (27%) și Marea Britanie (15%).
Cum funcţionează asta?
În special, frauda CEO nu necesită abilități tehnice sau cunoștințe criminale. Tot ce veți primi este un e-mail aleatoriu și inginerie socială pentru a vă păcăli să trimiteți fonduri sau să dezvăluiți detalii sensibile pentru continuarea acțiunii ilicite.
Să vedem câteva moduri în care actorii răi fac asta „în prezent”.
Tipul 1
O adresă de e-mail aleatorie care impune ca CEO-ul cere niște bani este cea mai simplă formă de astfel de trucuri. Și acesta este ușor de observat. Tot ce trebuie să cauți este adresa de e-mail (și nu numele).
În general, numele de domeniu ([email protected]) oferă fraudă. Cu toate acestea, adresa de e-mail poate indica o organizație renumită (cum a fost în cazul meu).
Aceste premii au adăugat legitimitate înșelătoriei, care poate victimiza un profesionist neinformat. În plus, adresa de e-mail poate părea autentică, dar cu ușoare modificări neobservate, cum ar fi @gmial.com în locul @gmail.com.
În cele din urmă, poate fi de la o adresă de e-mail legitimă, dar compromisă, ceea ce face extrem de dificilă detectarea înșelătoriei.
Tip 2
O altă tehnică mai sofisticată folosește apelurile video. Aceasta include o adresă de e-mail „gestionată” a unui oficial de rang înalt care trimite solicitări de întâlnire online „urgente” angajaților săi, mai ales în departamentul financiar.
În continuare, participanții văd o imagine fără sunet (sau cu un sunet deepfake) cu afirmația că conexiunea nu funcționează conform așteptărilor.
Ulterior, „directorul de afaceri” cere să inițieze un transfer bancar către conturi bancare necunoscute, de unde banii sunt extrași prin alte canale (citește criptomonede) după o fraudă reușită.
Tip 3
Aceasta este o variantă a Tipului 1, dar vizează partenerii de afaceri și nu angajații, obținând o fraudă de nume – factură – mai potrivită pentru modul său de operare.
În acest caz, clientul unei organizații primește un e-mail pentru a plăti urgent o factură către anumite conturi bancare.
Sursa: CBC News
Acesta are cea mai mare rată de succes, deoarece în mod normal este realizat folosind o adresă de e-mail a companiei piratată. Și din moment ce e-mailul este modul, uneori exclusiv, prin care profesioniștii comunică, are ca rezultat pierderi uriașe financiare și de reputație pentru organizația țintă.
Cum să verificați frauda CEO?
Ca angajat, este greu să respingi o solicitare din partea propriului CEO. Acest psihic este cauza principală pentru care făptuitorii obțin succes cu ușurință doar cu un e-mail aleatoriu.
Pe lângă interogarea solicitărilor financiare, cel mai bine este să solicitați o întâlnire video înainte de a „coopera”.
Mai mult, în cele mai multe cazuri, trebuie doar să verificați cu atenție adresa de e-mail. Este posibil să nu aparțină organizației dvs. sau să aibă versiuni greșite ale numelui companiei.
În plus, o instituție nu poate înregistra toate extensiile de domeniu. Așadar, trebuie să aveți grijă să nu primiți un e-mail de la [email protected] când ar trebui să fie adresa oficială [email protected]
În cele din urmă, este posibil să primiți e-mailuri de la o adresă de companie operată din „exterior” sau de la un membru intern necinstit. Cheia unei astfel de situații este confirmarea verbală sau menținerea mai multor directori la curent înainte de a efectua plăți.
Iar cea mai eficientă modalitate de a vă proteja organizația, dacă conduceți una, este încorporarea simulării de phishing în formarea de rutină a angajaților. Pentru că acești fraudatori evoluează constant. Așadar, acordarea unui singur avertisment unic nu îi va ajuta prea mult pe angajații dvs.
Încheierea!
Din păcate, depindem foarte mult de e-mailurile de afaceri, lăsând mari lacune pe care criminalii le exploatează adesea.
Deși nu există încă un înlocuitor pentru această formă de comunicare, putem adăuga parteneri de afaceri în aplicații precum Slack sau chiar WhatsApp. Acest lucru vă va ajuta să confirmați rapid dacă ceva pare suspect și să evitați astfel de eșecuri.
PS: Dacă aș fi în locul dvs., nu aș rata acest articol care acoperă tipuri de infracțiuni cibernetice pentru o alfabetizare suplimentară pe internet.