Amerikaanse bedrijven worden steeds vaker getroffen door fraude omdat aanvallers erin slagen de e-mailaccounts van directeuren te hacken. De fraude wordt aangeduid als "Business E-mail Compromise" (BEC) en houdt in dat criminelen het e-mailaccount van de CEO of CFO overnemen.

Vervolgens sturen ze naar de financiële administratie een betalingsverzoek, waarin staat dat er een groot bedrag naar een buitenlandse rekening moet worden overgemaakt. Vorig jaar werden er zeker tweeduizend bedrijven het slachtoffer van de scam, waarbij criminelen uiteindelijk 226 miljoen dollar wisten te stelen. Onlangs werd er bij een grote Zweedse uitgeverij en mediagroep op deze manier 1,5 miljoen dollar buitgemaakt.

Werkwijze

Vanwege de toegenomen fraude hebben het Amerikaanse Financial Services Information Sharing and Analysis Center (FS-ISAC), de FBI en de Secret Service een gezamenlijke waarschuwing afgegeven. Volgens de diensten weten criminelen de e-mailaccounts meestal via social engineering of malware over te nemen. Vervolgens wordt er naar het eerdere e-mailverkeer van de directeur gekeken, zodat ze weten wie en hoe ze de financieel medewerkers moeten aanspreken. Ook komt het voor dat de criminelen de e-mails die het slachtoffer ontvangt naar zichzelf laten doorsturen.

Deze "verkenningsfase" gaat net zolang door totdat de aanvaller genoeg vertrouwen heeft om de betaalinstructies te versturen. De opsporingsdiensten merken hierbij op dat de instructies zowel via het gehackte e-mailaccount als een gespooft account kunnen worden verstuurd. Het gespoofte e-mailadres lijkt in veel gevallen op het legitieme e-mailadres, waardoor werknemers vaak niet doorhebben dat ze met een oplichter communiceren.

Regels

Het komt ook voor dat de aanvallers het gehackte e-mailaccount van verschillende regels voorzien die ervoor zorgen dat alle e-mails die betrekking op de fraude hebben automatisch naar de prullenbak of een onzichtbare map worden verplaatst. Vaak wachten de criminelen met het versturen van de betaalinstructies totdat de CEO of CFO op zakenreis is, zodat het waarschijnlijker voor het personeel is dat er via e-mail wordt gecommuniceerd en het lastiger is om de frauduleuze transactie te verifiëren.

In de waarschuwing (pdf) aan bedrijven geven de FBI, Secret Service en FS-ISAC verschillende tips om de fraude te voorkomen. Zo moeten betaalinstructies naar een nieuwe leverancier telefonisch worden bevestigd, moet het aantal werknemers dat transacties kan goedkeuren worden beperkt en kunnen bedrijven instellen dat bepaalde transacties door twee mensen moeten worden goedgekeurd.