Liiketoimintasähköpostihuijaus eli BEC on yksi kalleimmista yritysten kohtaamista petostyypeistä. Toisin kuin tuhansille ihmisille kerralla lähetettävä tietojenkalastelu, BEC on kohdennettu huijaus. Rikolliset tutkivat yritystä, selvittävät, kuka hyväksyy maksut, ja laativat viestejä, jotka näyttävät täysin aidoilta.
Haittaohjelmia tai ilmeistä hakkerointia ei useinkaan ole. Huijaus onnistuu, koska joku luotettu henkilö saadaan hyväksymään maksu tai luovuttamaan arkaluonteisia tietoja – siksi BEC:tä kutsutaan usein luottamukseen, ei teknologiaan, perustuvaksi petokseksi.
Se voi tapahtua minkä tahansa kokoiselle yritykselle. Suuret organisaatiot ovat houkuttelevia suurempien maksusummien vuoksi, mutta pienempiä yrityksiä kohdistetaan usein juuri siksi, että niillä on käytössään vähemmän muodollisia tarkistuksia.
Näin se toimii
Huijaus alkaa yleensä jo kauan ennen kuin maksupyyntö ilmestyy. Rikolliset keräävät tietoja julkisilta verkkosivustoilta, sosiaalisesta mediasta, yritysten ilmoituksista, toimittajasuhteista ja organisaatiokaavioista ja muodostavat kuvan siitä, miten ja kenen toimesta maksut hyväksytään.
Sen jälkeen he luovat uskottavan sähköpostiosoitteen, murtautuvat oikeaan postilaatikkoon tai esiintyvät jonakin, joka on jo mukana aidossa maksutapahtumassa. Koska sähköposti näyttää kuuluvan yrityksen normaaliin arkeen, maksupyyntö hyväksytään usein ilman tarkempaa tarkistusta.
Joissakin hyökkäyksissä käytetään väärennettyjä laskuja. Toisissa pyydetään muuttamaan toimittajan pankkitietoja. Kehittyneemmissä tapauksissa huijarit lukevat aitoja sähköpostiketjuja viikkojen ajan ennen kuin puuttuvat keskusteluun kaikkein uskottavimmalla hetkellä.
Miltä tämä voi näyttää
Taloushallinnon tiimi odottaa laskua vakituiselta toimittajalta. Muutama päivä ennen laskun eräpäivää saapuu sähköposti, jossa kerrotaan toimittajan muuttaneen pankkitietojaan. Ajankohta tuntuu oikealta, sanamuoto tutulta ja pyyntö järkevältä – joten maksu suoritetaan.
Viikkoja myöhemmin oikea toimittaja ottaa yhteyttä ja kysyy, miksi sen laskua ei ole maksettu. Silloin yritys huomaa rahan päätyneenkin rikolliselle. Huijaus onnistui, koska se sulautui saumattomasti normaaliin liiketoimintaprosessiin.
Miksi tämä huijaus toimii
BEC onnistuu ihmisten toiminnan, ei teknologian, ansiosta. Huijarit hyödyntävät luottamusta, rutiineja ja kiirettä – kun pyyntö noudattaa tuttua kaavaa, se tuntuu luonnostaan vähemmän riskialttiilta.
Henkilökunta ei toimi huolimattomasti. He käsittelevät sitä, mikä näyttää tavalliselta maksutapahtumalta, koska juuri siltä huijari haluaa sen näyttävän.
Yrityksesi suojaaminen
Vahvin suoja on riippumaton varmistus. Älä koskaan muuta maksutietoja pelkästään sähköpostissa olevien tietojen perusteella – vahvista kaikki muutokset käyttämällä yhteystietoja, jotka sinulla on jo ennestään tallessa, äläkä pyynnössä annettuja tietoja.
Muita hyödyllisiä valvontakeinoja:
- Maksujen kaksoishyväksyntä
- Tehtävien eriyttäminen
- Maksurajat
- Toimittajien varmistamismenettelyt
- Petostietoisuuskoulutus
- Poikkeavien pyyntöjen eskalointiprosessi
Petosten torjunta toimii parhaiten, kun nämä valvontakeinot toimivat yhdessä eivätkä yksin.
Tärkein asia
Maksupyyntö voi näyttää täysin aidolta ja olla silti petollinen. Luottamus ei saa koskaan korvata varmistamista.
Aiheeseen liittyvät artikkelit
- Mitä laskutuspetos tarkoittaa?
- Mitä toimittajahuijaus tarkoittaa?
- Mitä toimitusjohtajahuijaus tarkoittaa?
- Miten yritykset voivat suojautua maksupetoksilta?