Business email Compromesso (BEC):come identificare i segnali di pericolo e ridurre i rischi

Le truffe BEC (Business Email Compromise) sono un tipo di frode di pagamento online che prende di mira le aziende e può causare perdite finanziarie significative. BEC implica l'ottenimento di un accesso non autorizzato a un account di posta elettronica, SMS o social media legittimo o un tentativo di contraffazione o contraffazione di un account legittimo.

Lo scopo è consentire all'attore criminale di inviare un messaggio da un dirigente o un leader aziendale, un venditore o un cliente per convincere un dipendente a trasferire fondi.

Una volta che questi fondi sono stati trasferiti all'attore criminale, è difficile, se non impossibile, recuperare la perdita. Tra il 2016 e il 2021, gli americani hanno perso circa 9 miliardi di dollari a causa delle frodi BEC‡. Ci vogliono solo pochi minuti per un errore finanziariamente paralizzante e può succedere a chiunque. Che si tratti di un nuovo assunto, di un veterano di 20 anni, di un responsabile dei debiti o di un CEO, l'impatto che ne deriva è lo stesso se si verifica un passo falso.

La buona notizia è che ci sono azioni che le aziende possono intraprendere per ridurre al minimo e mitigare i propri rischi.

Come identificare le bandiere rosse BEC e ridurre il rischio

Le misure preventive più importanti per proteggersi dal BEC sono la vigilanza e la consapevolezza. Di seguito sono riportate diverse bandiere rosse BEC da cercare quando si ricevono comunicazioni relative a trasferimenti di fondi o transazioni.

Funzioni di comunicazione

• Comunicazioni contraffatte:controlla accuratamente l'ortografia e i domini sulle richieste di pagamento ricevute tramite e-mail. Controlla attentamente l'indirizzo del mittente (e-mail, numero di telefono, ecc.) per vedere se lettere, numeri o nome di dominio non sono corretti.
• Utilizzo di account personali:gli attori criminali impersoneranno i leader aziendali, i fornitori o i clienti che utilizzano i loro account personali (e-mail, telefono cellulare, social media) anziché i loro account aziendali standard.

Concentrati sul tempismo

• Urgenza:gli attori che utilizzano BEC scrivono comunicazioni richiedendo un'azione rapida su modifiche dei dati, trasferimenti di fondi o fissando scadenze accelerate. Le tempistiche più rapide possono comportare passaggi di convalida mancati o il dipendente che agisce al di fuori del protocollo.
• Fare affidamento sulla risposta dei dipendenti all'autorità:questi attori dipendono dal fatto che i dipendenti siano condizionati a soddisfare rapidamente le richieste della leadership esecutiva o di clienti e fornitori importanti.
• La richiesta arriva in un momento di punta – Molte richieste fraudolente arriveranno alla fine della giornata lavorativa o della settimana lavorativa, mettendo sotto pressione i dipendenti affinché completino la richiesta prima della fine dell'attività (o della fine del mese/trimestre/anno fiscale) .

Comunicazione e comportamento

• Comunicazioni dai dirigenti:i truffatori BEC impersoneranno un individuo reale, molto spesso un leader o un dirigente dell'azienda per cui una persona lavora.
• Un'unica forma di comunicazione:molti tentativi BEC indicheranno che il mittente è in riunione o è in viaggio e non può essere raggiunto tramite telefono o altri mezzi e richiede che tutte le comunicazioni avvengano tramite un canale di comunicazione specifico come e-mail, SMS, o social media.
• Termini generici e grammatica dispari:se si ricevono e-mail con saluti non personalizzati come "Gentile" o "Signore" o "Cliente", questa è una bandiera rossa. Anche le email con grammatica dispari come "gentile", punteggiatura mancante o errori di ortografia sono un segnale d'allarme.
• Unita alla paura e all'urgenza, la prospettiva di essere ricompensati può indurre i dipendenti a saltare le procedure tipiche. Questi premi possono essere tangibili o immateriali, come essere riconosciuti per aver risolto un problema o completare un compito molto importante per la leadership esecutiva.

Come viene presa di mira un'azienda per il BEC

Prima di lanciare una truffa BEC, gli attori criminali possono ricercare l'azienda, i dipendenti e l'alta dirigenza per raccogliere quante più informazioni possibili per aiutarli a elaborare una richiesta convincente. Possono anche controllare gli orari dei viaggi, leggere altre e-mail aziendali e rivedere i profili dei social media.

Gli attori criminali il più delle volte si identificano come dirigenti di alto livello (CFO, CEO, CTO, ecc.), Avvocati, venditori, clienti o altri tipi di rappresentanti. Nella comunicazione, affermeranno di gestire questioni riservate o urgenti e richiederanno l'avvio di un bonifico bancario urgente.

In particolare, queste richieste urgenti includono anche una modifica all'account ricevente o la creazione di un nuovo account (che alla fine viene indirizzato all'attore criminale). Il dipendente che riceve la comunicazione può ritenere che la richiesta sia legittima ed esegue il trasferimento di fondi, determinando una perdita finanziaria per l'azienda.

BEC è una truffa di ingegneria sociale

La parte difficile di BEC è che non si ottiene principalmente attraverso malware o hacking:utilizza l'ingegneria sociale. Questi attori criminali creano scenari credibili che possono indurre un dipendente a trasferire fondi.

L'ingegneria sociale è l'uso dell'inganno per manipolare le persone affinché divulghino informazioni riservate o intraprendano azioni a sostegno di attività fraudolente.

È nella nostra natura fidarsi e voler aiutare. I criminali informatici utilizzano la psicologia e la natura umana per indurre le vittime a bypassare importanti controlli di sicurezza.

Come aiutare a prevenire la BEC

Controlla accuratamente le richieste di modifica dei pagamenti

Una richiesta di pagamento accompagnata da un cambio di conto ricevente dovrebbe essere sempre esaminata da vicino.

Contatta dirigenti, fornitori o clienti utilizzando un canale di comunicazione alternativo per verificare la richiesta e le nuove informazioni sull'account. Assicurati che il contatto venga effettuato utilizzando un numero di telefono attendibile già in archivio per un contatto noto presso l'organizzazione, non il numero di telefono fornito nell'e-mail, nell'SMS o nel messaggio sui social media, e verifica che la persona sia autorizzata a presentare la richiesta.

Pausa per verificare

Quando ti viene chiesto di verificare un bonifico bancario, ritarda la transazione fino a quando non possono essere eseguite ulteriori verifiche e richiedi la doppia approvazione per qualsiasi richiesta di bonifico che soddisfi determinati criteri ad alto rischio.

Mantieni le cose semplici

Limita il numero di dipendenti all'interno di un'azienda che hanno l'autorità di approvare e/o effettuare bonifici.

Crea un ambiente di fiducia

Molte truffe BEC sono il risultato di attori criminali che si atteggiano a dirigenti senior all'interno delle organizzazioni. I dipendenti dovrebbero sentirsi a proprio agio nel fare una pausa per convalidare la richiesta di trasferimento di fondi di un leader senior via telefono o di persona senza preoccupazioni.

I dipendenti dovrebbero essere incoraggiati a resistere al condizionamento della buona natura per aiutare e moderare l'entusiasmo per dare la priorità alle richieste della leadership.

L'FBI considera BEC‡ le truffe finanziariamente più dannose negli Stati Uniti. Intervieni nella tua attività per garantire che la leadership e i dipendenti comprendano la minaccia di questa truffa e come identificare le bandiere rosse del BEC e ridurre i rischi.

La frode è sempre una preoccupazione per le aziende, ma può esserlo di più in questo ambiente attuale. Leggi di più su come proteggere la tua azienda  qui o visita il nostro Centro risorse per le frodi.