Het National Cyber Security Centre (NCSC) van de Britse overheid heeft advocatenkantoren via een rapport gewaarschuwd voor phishing, ceo-fraude en andere dreigingen (pdf). Volgens het NCSC is phishing de meestvoorkomende cyberaanval waar advocatenkantoren mee te maken krijgen.

Vorig jaar juli meldde de Britse Regulerende Advocatenautoriteit (SRA) dat cybercriminelen in 2017 omgerekend 12,3 miljoen euro bij advocatenkantoren hadden gestolen. In driekwart van de gevallen ging het om fraude waarbij e-mails en betaalgegevens werden aangepast waarna er geld naar de verkeerde rekening werd overgemaakt. Uit een recente enquête onder advocatenkantoren blijkt dat 80 procent met phishingaanvallen te maken heeft gehad. Ceo-fraude, waarbij oplichters zich als een directeur voordoen en de financiële administratie van een organisatie benaderen om snel een bedrag over te maken, beschouwt het NCSC ook als phishing.

In het rapport wordt een geval omschreven van een advocatenkantoor dat slachtoffer van ceo-fraude werd. Een partner van het advocatenkantoor meldde op social media dat er een zakenreis naar Barcelona stond gepland, inclusief vlucht en plannen. Een bende maakte van deze informatie gebruik voor het plegen van ceo-fraude. Een medewerker van de administratie ontving een e-mail afkomstig van een gespooft e-mailadres. Daarin stond dat er een rekening moest worden betaald en werd er verzocht dit geheim te houden.

Hoewel het advocatenkantoor beleid en procedures had voor het betalen van rekeningen wisten de criminelen de financiële administratie onder het mom van urgentie, vertrouwelijkheid en senioriteit zover te krijgen om de regels te breken. De criminelen wisten ook dat er nieuwe accountantssoftware werd geïnstalleerd, omdat een medewerker dit op Facebook had gemeld. Een medewerker maakte uiteindelijk omgerekend 39.000 euro over. Pas nadat een andere partner vragen over de betaling stelde werd de fraude ontdekt. Hierop werden beleid en procedures aangepast, waaronder het socialmediabeleid.

Om phishing te voorkomen adviseert het NCSC om het lastig voor aanvallers te maken om personeel te benaderen. Ook moet het personeel worden geleerd om phishingmails te herkennen en die te melden. Verder moeten advocatenkantoren procedures en beleid doorvoeren voor het betalen van rekeningen en een cultuur aanmoedigen waarbij verdachte transacties in vraag worden gesteld en gehaaste en niet goed gevalideerde betalingen worden geweigerd.