Criminelen hebben sinds januari van dit jaar 1,2 miljard dollar van bedrijven gestolen door vervalste e-mails te versturen, zo stelt de FBI. De e-mails zijn afkomstig van gespoofte e-mailadressen of gehackte e-mailaccounts van personeelsleden en bevatten instructies voor de financiële administratie.

Er is bijvoorbeeld sprake van een spoedoverboeking waarbij miljoenen naar een rekening moeten worden overgemaakt. Aanvallers wisten op deze manier 46 miljoen dollar van netwerkbedrijf Ubiquiti Networks te stelen. De FBI noemt deze vorm van fraude "business email compromise". Er zijn verschillende vormen van de fraude. Zo is er een variant waarbij de oplichters gebruik maken van de relatie tussen bedrijven en leveranciers. In dit geval doen ze zich voor als de leverancier en vragen het bedrijf om de betaling van een factuur op een andere rekening over te maken. Bij een tweede versie wordt het e-mailaccount van de CFO, CTO of andere hooggeplaatste posities gehackt of gespooft en wordt er een e-mail met een betalingsverzoek naar de financiële administratie gestuurd.

Bij de derde variant wordt het privémailaccount van een werknemer gehackt en gebruikt voor het versturen van betalingsverzoeken. Volgens de FBI is er inmiddels ook een vierde versie van de scam opgedoken, waarbij de criminelen zich voordoen als advocaten of vertegenwoordigers van een advocatenkantoor en het bedrijf via e-mail of telefoon benaderen. Vervolgens wordt er gevraagd om snel een betalingsverzoek af te handelen. Deze scam zou vooral aan het einde van de dag of werkweek plaatsvinden. Er is vooral een toename van gehackte e-mailaccounts. In dit geval versturen de criminelen malware waarmee ze toegang tot het account krijgen.

Wereldwijd zijn er volgens de FBI inmiddels meer dan 8.000 bedrijven op deze manier opgelicht, waarvan 7.000 in de Verenigde Staten. De schade bedraagt 800 miljoen dollar, waarvan wederom het grootste deel, 750 miljoen dollar, in de VS. Naast de 800 miljoen dollar die de FBI in de eerste acht maanden van dit jaar registreerde, hebben andere opsporingsdiensten een schadebedrag van 400 miljoen dollar waargenomen, waardoor het totale schadebedrag op 1,2 miljard dollar uitkomt.

Maatregelen

De FBI geeft bedrijven verschillende tips om zich tegen de scam te wapenen. Zo moet er een systeem komen om e-mails met domeinen te herkennen die op de bedrijfsnaam lijken. Verder moeten bedrijven alle domeinen registreren die op hun eigen domeinnaam lijkt. Daarnaast wordt twee-factor authenticatie geadviseerd voor het aanpassen van betaalgegevens en moeten betaalverzoeken worden gecontroleerd en dan niet via het telefoonnummer dat in de e-mail staat.