Az üzleti e-mail-kompromittálás, vagyis a BEC, a vállalkozásokat érő csalások egyik legköltségesebb típusa. Ellentétben az egyszerre több ezer embernek elküldött adathalász üzenetekkel, a BEC célzott támadás. A bűnözők utánanéznek a vállalkozásnak, kiderítik, ki hagyja jóvá a kifizetéseket, majd teljesen hitelesnek tűnő üzeneteket készítenek.
Gyakran nincs benne kártevő, és nem történik nyilvánvaló feltörés sem. A csalás azért működik, mert valakit, akiben megbíznak, rávesznek egy kifizetés jóváhagyására vagy bizalmas információk megosztására — ezért nevezik a BEC-et gyakran a bizalom, nem pedig a technológia által elkövetett csalásnak.
Bármilyen méretű vállalkozással megtörténhet. A nagyobb szervezetek a magasabb tranzakciós értékek miatt vonzóak, a kisebb vállalkozásokat azonban gyakran éppen azért veszik célba, mert kevesebb formális ellenőrzési folyamatot alkalmaznak.
Hogyan működik?
A csalás általában jóval azelőtt elkezdődik, hogy bármilyen kifizetési kérelem megjelenne. A bűnözők nyilvános webhelyekről, közösségi médiából, vállalati közleményekből, beszállítói kapcsolatokról és szervezeti ábrákból gyűjtenek információt, így képet alkotnak arról, hogyan és ki hagyja jóvá a kifizetéseket.
Ezután meggyőző e-mail-címet hoznak létre, feltörnek egy valódi postafiókot, vagy valaki olyannak adják ki magukat, aki már részt vesz egy valódi tranzakcióban. Mivel az e-mail a mindennapi üzleti tevékenység részének tűnik, a kifizetési kérelem gyakran további ellenőrzés nélkül teljesül.
Egyes támadások hamis számlákat használnak. Mások egy beszállító banki adatainak módosítását kérik. Kifinomultabb esetekben a csalók hetekig olvassák a valódi e-mail-váltásokat, mielőtt a legmeggyőzőbb pillanatban közbelépnének.
Hogyan nézhet ki?
Egy pénzügyi csapat számlát vár egy rendszeres beszállítótól. Néhány nappal a fizetési határidő előtt e-mail érkezik, amely szerint a beszállító megváltoztatta banki adatait. Az időzítés megfelelőnek tűnik, a megfogalmazás ismerősnek hat, a kérés pedig ésszerűnek látszik — ezért a kifizetés megtörténik.
Hetekkel később a valódi beszállító felveszi a kapcsolatot, és megkérdezi, miért nem fizették ki a számláját. Ekkor derül ki a vállalkozás számára, hogy a pénz valójában egy bűnözőhöz került. A csalás azért működött, mert tökéletesen beleolvadt a szokásos üzleti folyamatba.
Miért működik ez a csalás?
A BEC nem a technológia, hanem az emberi viselkedés miatt sikeres. A csalók a bizalmat, a rutint és a sürgetést használják ki — amikor egy kérés ismerős mintát követ, természetes módon kisebb kockázatúnak tűnik.
Az alkalmazottak nem figyelmetlenek. Azt dolgozzák fel, ami szokásos tranzakciónak látszik, mert a csaló pontosan ezt akarja elérni.
Vállalkozása védelme
A legerősebb védelem a független ellenőrzés. Soha ne módosítsa a kifizetési adatokat kizárólag egy e-mailben szereplő információ alapján — minden módosítást a már nyilvántartott kapcsolattartási adatok használatával erősítsen meg, ne pedig magában a kérésben megadott adatokkal.
További hasznos ellenőrzési intézkedések:
- Kifizetések kettős jóváhagyása
- Feladatkörök elkülönítése
- Kifizetési összeghatárok
- Beszállítók ellenőrzésére vonatkozó eljárások
- Csalásokkal kapcsolatos tudatosságnövelő képzés
- Szokatlan kérések eszkalálására vonatkozó folyamat
A csalások megelőzése akkor a leghatékonyabb, ha ezek az ellenőrzési intézkedések együtt, nem pedig önállóan működnek.
A legfontosabb tudnivaló
Egy kifizetési kérelem teljesen legitimnek tűnhet, mégis lehet csalás. A bizalom soha nem helyettesítheti az ellenőrzést.
Kapcsolódó cikkek
- Mi az a számlacsalás?
- Mi az a beszállítói csalás?
- Mi az a vezérigazgatói csalás?
- Hogyan védhetik meg magukat a vállalkozások a kifizetési csalásoktól?