La compromissione della posta elettronica aziendale, o BEC, è uno dei tipi di frode più costosi che le aziende devono affrontare. A differenza del phishing inviato a migliaia di persone contemporaneamente, la BEC è mirata. I criminali studiano un'azienda, individuano chi autorizza i pagamenti e creano messaggi progettati per sembrare completamente autentici.
Spesso non c'è alcun malware né alcun attacco informatico evidente. La frode funziona perché una persona fidata viene persuasa ad autorizzare un pagamento o a condividere informazioni sensibili: per questo la BEC viene spesso definita una frode della fiducia, più che una frode tecnologica.
Può accadere a un'azienda di qualsiasi dimensione. Le organizzazioni più grandi sono attraenti per via del valore più elevato delle transazioni, ma le aziende più piccole sono spesso prese di mira proprio perché hanno meno controlli formali.
Come funziona
La frode di solito inizia molto prima che compaia una richiesta di pagamento. I criminali raccolgono informazioni da siti web pubblici, social media, comunicati aziendali, rapporti con i fornitori e organigrammi, costruendo un quadro di come e da chi vengono autorizzati i pagamenti.
Creano quindi un indirizzo email convincente, compromettono una casella di posta reale oppure si spacciano per qualcuno già coinvolto in una transazione legittima. Poiché l'email sembra rientrare nella normale attività aziendale, la richiesta di pagamento spesso viene evasa senza ulteriori verifiche.
Alcuni attacchi utilizzano fatture false. Altri chiedono di modificare le coordinate bancarie di un fornitore. Nei casi più sofisticati, i truffatori leggono per settimane conversazioni email reali prima di intervenire nel momento più convincente.
Come può presentarsi
Un team finanziario sta aspettando una fattura da un fornitore abituale. Qualche giorno prima della scadenza, arriva un'email che comunica che il fornitore ha modificato le proprie coordinate bancarie. Il momento sembra quello giusto, il linguaggio sembra familiare e la richiesta appare ragionevole, quindi il pagamento viene effettuato.
Settimane dopo, il vero fornitore contatta l'azienda chiedendo perché la sua fattura non sia stata pagata. È allora che l'azienda scopre che il denaro è finito nelle mani di un criminale. La frode ha funzionato perché si è inserita perfettamente in un normale processo aziendale.
Perché questa truffa funziona
La BEC ha successo grazie al comportamento umano, non alla tecnologia. I truffatori sfruttano fiducia, abitudini e urgenza: quando una richiesta segue uno schema familiare, viene naturalmente percepita come meno rischiosa.
Il personale non è negligente. Sta elaborando ciò che sembra una transazione ordinaria, ed è esattamente questo che il truffatore vuole far sembrare.
Proteggere la propria azienda
La difesa più efficace è la verifica indipendente. Non modificare mai le istruzioni di pagamento basandoti esclusivamente sulle informazioni contenute in un'email: conferma qualsiasi modifica utilizzando i recapiti già presenti nei tuoi archivi, non quelli forniti nella richiesta stessa.
Altri controlli utili:
- Doppia approvazione dei pagamenti
- Separazione dei compiti
- Soglie di pagamento
- Procedure di verifica dei fornitori
- Formazione sulla consapevolezza delle frodi
- Una procedura di escalation per le richieste insolite
La prevenzione delle frodi funziona al meglio quando questi controlli operano insieme, non singolarmente.
In sintesi
Una richiesta di pagamento può sembrare completamente legittima e tuttavia essere fraudolenta. La fiducia non deve mai sostituire la verifica.
Articoli correlati
- Che cos'è la frode tramite fattura?
- Che cos'è la frode ai danni dei fornitori?
- Che cos'è la frode del CEO?
- Come possono le aziende proteggersi dalle frodi sui pagamenti?