Kompromittering av bedrifts-e-post, eller BEC, er en av de mest kostbare formene for svindel som bedrifter utsettes for. I motsetning til phishing som sendes til tusenvis av personer samtidig, er BEC målrettet. Kriminelle undersøker en bedrift, finner ut hvem som godkjenner betalinger, og utformer meldinger som ser helt ekte ut.
Det er ofte ingen skadevare og ingen åpenbar hacking. Svindelen fungerer fordi noen som har tillit, blir overtalt til å godkjenne en betaling eller dele sensitiv informasjon – og derfor kalles BEC ofte tillitssvindel, snarere enn teknologisvindel.
Det kan skje med en bedrift av alle størrelser. Større organisasjoner er attraktive på grunn av høyere transaksjonsverdier, men mindre bedrifter blir ofte målrettet nettopp fordi de har færre formelle kontroller på plass.
Slik fungerer det
Svindelen starter vanligvis lenge før en betalingsforespørsel dukker opp. Kriminelle samler inn informasjon fra offentlige nettsteder, sosiale medier, kunngjøringer fra bedriften, leverandørforhold og organisasjonskart for å danne seg et bilde av hvordan betalinger godkjennes og av hvem.
Deretter oppretter de en overbevisende e-postadresse, skaffer seg tilgang til en ekte postkasse eller utgir seg for å være noen som allerede er involvert i en legitim transaksjon. Fordi e-posten ser ut som en del av den daglige virksomheten, går betalingsforespørselen ofte gjennom uten nærmere kontroll.
Noen angrep bruker falske fakturaer. Andre ber om at en leverandørs bankopplysninger endres. I mer sofistikerte tilfeller leser svindlere ekte e-posttråder i flere uker før de griper inn på det mest overbevisende tidspunktet.
Slik kan det se ut
En økonomiavdeling venter på en faktura fra en fast leverandør. Noen dager før forfallsdato kommer det en e-post om at leverandøren har endret bankopplysningene sine. Tidspunktet virker riktig, formuleringene virker kjente, og forespørselen virker rimelig – derfor gjennomføres betalingen.
Flere uker senere tar den ekte leverandøren kontakt og spør hvorfor fakturaen ikke er betalt. Da oppdager bedriften at pengene i stedet gikk til en kriminell. Svindelen fungerte fordi den gikk sømløst inn i en vanlig forretningsprosess.
Hvorfor denne svindelen fungerer
BEC lykkes på grunn av menneskelig atferd, ikke teknologi. Svindlere utnytter tillit, rutiner og hastverk – når en forespørsel følger et kjent mønster, føles den naturlig nok mindre risikabel.
De ansatte er ikke uforsiktige. De behandler det som ser ut som en vanlig transaksjon, fordi det er akkurat slik svindleren ønsker at den skal se ut.
Beskytt bedriften din
Det beste forsvaret er uavhengig verifisering. Endre aldri betalingsinstruksjoner utelukkende basert på informasjon i en e-post – bekreft alle endringer ved hjelp av kontaktopplysninger du allerede har registrert, ikke opplysningene som er oppgitt i selve forespørselen.
Andre kontroller som kan hjelpe:
- To godkjenninger for betalinger
- Arbeidsdeling
- Betalingsgrenser
- Rutiner for leverandørverifisering
- Opplæring i svindelbevissthet
- En eskaleringsprosess for uvanlige forespørsler
Forebygging av svindel fungerer best når disse kontrollene fungerer sammen, ikke hver for seg.
Det viktigste å huske
En betalingsforespørsel kan se helt legitim ut og likevel være svindel. Tillit må aldri erstatte verifisering.
Relaterte artikler
- Hva er fakturasvindel?
- Hva er leverandørsvindel?
- Hva er direktørsvindel?
- Hvordan kan bedrifter beskytte seg mot betalingssvindel?