Vad är BEC (Business Email Compromise) och hur fungerar det?

Vi får ofta höra att email är historia på grund av sociala mediers framväxt, men sanningen är att användningen fortsätter att växa. En studie från The Radicati Group visar att användningen av email ökar till enorma 319,6 miljarder skickade och mottagna emails per dag, år 2021. Det är en ofantlig massa emails. Även om det är sant att många av dessa är spam och oönskade meddelanden, så förblir e-post ett mycket praktiskt sätt för att kommunicera med både intern personal och externa företagspartners och kunder.

Eftersom email är en vital del i företagskommunikationen kommer det alltid att vara det främsta medlet som cyberbrottslingar använder för att nå ut till individer och organisationer. Vi har sett det i verkligheten då 76 procent av alla företag har drabbats av en phishing-attack.

Som alltid är cyberbrottslingar listiga fiender som söker nya och innovativa sätt för att skapa cyberhot. Ett annan mycket framgångsrik emailbaserad attackmetod är Business Email Compromise, eller förkortningen BEC. I den här artikeln ska vi ta en titt på vad BEC är och vilka åtgärder vi kan vidta för att skydda våra verksamheter mot ett av de grymmaste hoten.

Business Email Compromise – Några exempel

Forskning som gjorts från FBI med fokus på perioden 2013 till 2016 visade att BEC var orsaken till företags förluster på 5,3 miljarder dollar över hela världen. Några exempel på de som fallit offer för BEC-bedrägerier är:

Det österrikiska företaget FACC Operations GMBH: Företaget förlorade 50 miljoner euro till följd av ett BEC-bedrägeri när hackare utgav sig för att vara VD:n, Walter Stephan i deras emails. De bedrägliga mailen begärde att brådskande pengaöverföringar skulle göras – självklart gick pengarna raka vägen till hackarnas bankkonto.

Det kaliforniska företaget Xoom Corporation: Ett BEC-bedrägeri som liknar det FACC Operations råkade ut för; den här gången handlade det om 30,8 miljoner dollar som överfördes till en hackares konto. Detta gjorde att företagets aktiekurs föll med 17% efter incidenten.

Leksaksproducenten, Mattel: Företaget gav ut 3 miljoner dollar till bedragare som använde BEC-metoder för att lura organisationen till att tro att det handlade om en legitim finansiell överföring.

De här exemplen belyser vikten av det här problemet. Ett BEC-bedrägeri kan kosta miljoner dollar för företag. Det är en tillräcklig anledning för att lära sig mer om det.

Så ser ett BEC-bedrägeri ut

Likt de flesta framgångsrika metoder som cyberbrottslingar använder, så baserar sig BEC på det vanliga temat med att manipulera mänskligt beteende tillsammans med teknik. Den allmänna termen för detta är ”social manipulation”. Metoden utnyttjar vår mänskliga sociala natur och normala kontakt med andra människor för att uppnå brottslingens mål. Här är några sätt för hur BEC-bedragare går tillväga:

Utge sig för att vara VD

Bedrägeriet mot FACC Operations baserade sig på att förfalska VD:ns email. Det kan antingen göras genom att kapa det faktiska kontot eller genom att använda en falsk emailadress som lurar andra till att tro på att e-postadressen är riktig. Att kapa innebär att man hackar ett riktigt e-postkonto (genom att stjäla inloggningsuppgifter) och ta över den. Spoofing är en enklare metod, men den kan vara mindre framgångsrik. En förfalskad email kan dock vara mycket svår att genomskåda. Särskilt om bedragaren har följt hur VD:n beter sig och vilken typ av språkbruk hen använder. Förfalskade e-postadresser efterliknar de äkta adresserna väldigt detaljerat. Om de exempelvis ändrar [email protected] till [email protected] skulle endast vaksamma personer urskilja den förändrade domänen.

Förfalskade fakturor

Hackare använder övervakningsmetoder för att skaffa information om hur ett företags ekonomiavdelning verkar. Cyberbrottslingen använder genomträngande phishing-emails för att nå ut till en individ på avdelningen, och stjäl inloggningsuppgifterna till den anställdes mailkonto. Sedan följer de faktureringsmönstren och inom sinom tid skickar de en falsk faktura som ska betalas eller så modifierar de betalningsuppgifter på en riktig faktura.

Business Email Compromise och Vi

BEC är som en gammaldags fälla. Bedrägeriet går ut på att man manipulerar mänskligt beteende. Cyberbrottslingen använder en kombination av psykologiska knep och insamlad kunskap för att du ska springa deras ärenden. Här nedan är några viktiga element som de använder sig av:

Övervakning

BEC-hackare tar sig ofta tid för att lära sig hur ett företag och individerna i det företaget verkar och kommunicerar. De vill göra så att deras emails ser så verkliga ut som möjligt och imitera den anställde som de utger sig för att vara. Av denna anledning använder de liknande språkbruk för att få deras offer att tro på dem.

Förtroende

Bedrägeriet grundar sig på tillitsfulla relationer. Lurendrejaren använder ofta tillitsfulla relationer, som den mellan en VD och ekonomichef för att få till en pengaöverföring. Om vi har förtroende för den person som ber oss överföra pengar, så gör vi med större sannolikhet det. Särskilt om språkbruket och orden som personen använder är autentiskt med den verkliga personen.

Bra anställda

BEC-bedrägerier är ofta som mest framgångsrika när de inger en brådskande känsla. Detta kan spela på en anställds strävan efter att göra ett bra jobb. Förfalskade emails uppmanar till handling, som exempelvis ”Vänligen genomför överföringen snabbt; om vi inte flyttar de här pengarna innan kl. 12:00 så går vi miste om en stor affär”. Rädslan för att få skulden för något som inte överförs i tid får den anställda att lyda. Den brådskande uppmaningen orsakar också stress, vilket gör att man mindre sannolikt genomskådar ledtrådarna som visar att det i själva verket rör sig om ett bedrägeri.

Sätt för att undvika BEC-bedrägerier

Som med alla cybersäkerhetshot, så finns det sätt som minskar risken och slår cyberbrottslingarna på deras eget spel. Därför har vi listat några idéer för hur man behåller skärpan och på så sätt även skyddar sig.

1. Medvetenhet

Först och främst, se till att alla i ditt företag – från ledningen till enskilda medarbetare är medvetna om vad ett BEC-bedrägeri är och hur de går till. Du bör i synnerhet göra de utsatta verksamhetsdelarna som ekonomiavdelningen medveten om hotet. Implementera kontroller och åtgärder, som att man samtalar via telefon för att bekräfta större överföringar.

2. Använd robust e-postautentisering

Även om många BEC-bedrägerier baseras på social manipulation så finns det en del bedrägerier som går ut på att hacka mailkonton. Om du har möjlighet bör du applicera tvåfaktorautentisering (2FA) vid inloggning på mailkonton. Emailsystem som exempelvis Gmail erbjuder detta med en mobilapp eller SMS-meddelanden. Observera att SMS-meddelandet med 2FA har några kända säkerhetsbrister. Därför kan kod igenom en mobilapp vara säkrare.

3. Kontrollera din domän

De förfalskade emailadresserna som brottslingarna använder sig av har ofta liknande domäner i adressen. Se till att du köper upp alla domäner som liknar din huvuddomän. Som ett resultat kan inte hackare missbruka dem.

4. Var hygienisk

Grundläggande åtgärder för säkerhetshygien som malware-skydd bör alltid finnas på plats. För att friska upp ditt minne om vad detta betyder kan du ta en titt på våra 8 steg för att hålla dig säker online. Även om detta riktar sig till individen, så är det viktigt för alla i ditt företag att vara medvetna om de här stegen.

Summerande tankar

Det som är särskilt skrämmande med BEC-bedrägerier är att hackaren blir till en spion som använder vårt egna beteende emot oss. BEC kan vara ett mycket kostsamt brott som sliter hårt på företags ekonomier. Ibland kan det till och med leda till att personer avskedas. Genom något så simpelt som att vara säkerhetsmedveten kan man minimera risken för att ditt företag ska drabbas av detta skadliga cyberbrott.