Kompromittering af virksomheds-e-mail, eller BEC, er en af de mest omkostningstunge former for svindel, som virksomheder udsættes for. I modsætning til phishing, der sendes til tusindvis af mennesker på én gang, er BEC målrettet. Kriminelle undersøger en virksomhed, finder ud af, hvem der godkender betalinger, og udformer beskeder, der ser fuldstændig ægte ud.
Der er ofte ingen malware og ingen tydelige tegn på hacking. Svindlen virker, fordi en person, man har tillid til, bliver overtalt til at godkende en betaling eller dele følsomme oplysninger — og derfor kaldes BEC ofte tillidsbedrageri snarere end teknologisk bedrageri.
Det kan ske for en virksomhed af enhver størrelse. Større organisationer er attraktive på grund af de højere transaktionsværdier, men mindre virksomheder bliver ofte målrettet netop fordi de har færre formelle kontrolforanstaltninger på plads.
Sådan fungerer det
Svindlen begynder som regel længe før, der kommer en betalingsanmodning. Kriminelle indsamler oplysninger fra offentlige websteder, sociale medier, virksomhedsmeddelelser, leverandørrelationer og organisationsdiagrammer for at danne sig et billede af, hvordan betalinger godkendes, og af hvem.
Derefter opretter de en overbevisende e-mailadresse, skaffer sig adgang til en ægte postkasse eller udgiver sig for at være en person, der allerede er involveret i en legitim transaktion. Fordi e-mailen ligner en del af den daglige virksomhed, går betalingsanmodningen ofte igennem uden nærmere kontrol.
Nogle angreb bruger falske fakturaer. Andre beder om at få ændret en leverandørs bankoplysninger. I mere sofistikerede tilfælde læser svindlere ægte e-mailtråde i ugevis, før de træder ind på det mest overbevisende tidspunkt.
Sådan kan det se ud
Et økonomiteam forventer en faktura fra en fast leverandør. Et par dage før forfaldsdatoen kommer der en e-mail om, at leverandøren har ændret sine bankoplysninger. Tidspunktet virker rigtigt, formuleringen virker velkendt, og anmodningen virker rimelig — så betalingen gennemføres.
Flere uger senere kontakter den rigtige leverandør virksomheden og spørger, hvorfor fakturaen ikke er blevet betalt. Det er på det tidspunkt, virksomheden opdager, at pengene i stedet er gået til en kriminel. Svindlen virkede, fordi den gled ubemærket ind i en normal forretningsproces.
Hvorfor denne svindel virker
BEC lykkes på grund af menneskelig adfærd, ikke teknologi. Svindlere udnytter tillid, rutiner og hast — når en anmodning følger et velkendt mønster, føles den naturligt mindre risikabel.
Medarbejderne er ikke uforsigtige. De behandler det, der ligner en almindelig transaktion, fordi det er præcis sådan, svindleren ønsker, at den skal se ud.
Beskyt din virksomhed
Det stærkeste forsvar er uafhængig verificering. Ændr aldrig betalingsoplysninger udelukkende på baggrund af oplysninger i en e-mail — bekræft enhver ændring ved hjælp af kontaktoplysninger, du allerede har registreret, og ikke de oplysninger, der er angivet i selve anmodningen.
Andre kontrolforanstaltninger, der hjælper:
- Dobbeltgodkendelse af betalinger
- Adskillelse af arbejdsopgaver
- Betalingsgrænser
- Procedurer for leverandørverificering
- Træning i opmærksomhed på svindel
- En eskaleringsproces for usædvanlige anmodninger
Forebyggelse af svindel fungerer bedst, når disse kontrolforanstaltninger fungerer sammen og ikke hver for sig.
Det vigtigste at huske
En betalingsanmodning kan se fuldstændig legitim ud og stadig være svigagtig. Tillid bør aldrig erstatte verificering.
Relaterede artikler
- Hvad er fakturasvindel?
- Hvad er leverandørsvindel?
- Hvad er direktørsvindel?
- Hvordan kan virksomheder beskytte sig mod betalingssvindel?