Oszustwo typu business email compromise, czyli BEC, jest jednym z najbardziej kosztownych rodzajów oszustw, z jakimi mierzą się firmy. W przeciwieństwie do phishingu wysyłanego jednocześnie do tysięcy osób, BEC jest ukierunkowane. Przestępcy zbierają informacje o firmie, ustalają, kto zatwierdza płatności, i tworzą wiadomości zaprojektowane tak, aby wyglądały całkowicie autentycznie.
Często nie ma w tym złośliwego oprogramowania ani oczywistego włamania. Oszustwo działa, ponieważ zaufana osoba zostaje przekonana do zatwierdzenia płatności lub udostępnienia poufnych informacji — dlatego BEC często określa się mianem oszustwa opartego na zaufaniu, a nie na technologii.
Może do niego dojść w firmie dowolnej wielkości. Większe organizacje są atrakcyjne ze względu na wyższe kwoty transakcji, ale mniejsze firmy są często atakowane właśnie dlatego, że mają mniej formalnych mechanizmów kontroli.
Jak to działa
Oszustwo zwykle zaczyna się na długo przed pojawieniem się jakiejkolwiek prośby o płatność. Przestępcy zbierają informacje z publicznych stron internetowych, mediów społecznościowych, komunikatów firmowych, informacji o relacjach z dostawcami i schematów organizacyjnych, tworząc obraz tego, jak i przez kogo zatwierdzane są płatności.
Następnie tworzą przekonujący adres e-mail, przejmują prawdziwą skrzynkę pocztową lub podszywają się pod osobę już zaangażowaną w prawdziwą transakcję. Ponieważ wiadomość wygląda jak część codziennej działalności firmy, prośba o płatność często zostaje zrealizowana bez ponownej weryfikacji.
W niektórych atakach wykorzystywane są fałszywe faktury. W innych pojawia się prośba o zmianę danych bankowych dostawcy. W bardziej zaawansowanych przypadkach oszuści przez kilka tygodni czytają prawdziwe wątki wiadomości e-mail, zanim wkroczą w najbardziej przekonującym momencie.
Jak może to wyglądać
Zespół finansowy oczekuje faktury od stałego dostawcy. Na kilka dni przed terminem płatności przychodzi wiadomość z informacją, że dostawca zmienił dane bankowe. Termin wydaje się odpowiedni, treść brzmi znajomo, a prośba wydaje się uzasadniona — więc płatność zostaje zrealizowana.
Kilka tygodni później prawdziwy dostawca kontaktuje się z firmą, pytając, dlaczego jego faktura nie została opłacona. Wtedy firma odkrywa, że pieniądze trafiły do przestępcy. Oszustwo zadziałało, ponieważ idealnie wkomponowało się w normalny proces biznesowy.
Dlaczego to oszustwo działa
BEC jest skuteczne dzięki ludzkim zachowaniom, a nie technologii. Oszuści wykorzystują zaufanie, rutynę i poczucie pilności — gdy prośba pasuje do znanego schematu, naturalnie wydaje się mniej ryzykowna.
Pracownicy nie zachowują się nieostrożnie. Przetwarzają coś, co wygląda jak zwykła transakcja, ponieważ właśnie tak oszust chce, aby to wyglądało.
Ochrona firmy
Najskuteczniejszą ochroną jest niezależna weryfikacja. Nigdy nie zmieniaj instrukcji dotyczących płatności wyłącznie na podstawie informacji zawartych w wiadomości e-mail — każdą zmianę potwierdzaj, korzystając z danych kontaktowych, które masz już zapisane, a nie z danych podanych w samej prośbie.
Inne pomocne mechanizmy kontroli:
- Podwójna akceptacja płatności
- Rozdzielenie obowiązków
- Limity płatności
- Procedury weryfikacji dostawców
- Szkolenia z rozpoznawania oszustw
- Proces eskalacji nietypowych próśb
Zapobieganie oszustwom działa najlepiej, gdy te mechanizmy kontroli funkcjonują wspólnie, a nie pojedynczo.
Najważniejsza informacja
Prośba o płatność może wyglądać całkowicie wiarygodnie, a mimo to być oszustwem. Zaufanie nigdy nie powinno zastępować weryfikacji.
Powiązane artykuły
- Czym jest oszustwo związane z fakturami?
- Czym jest oszustwo związane z dostawcą?
- Czym jest oszustwo na prezesa?
- Jak firmy mogą chronić się przed oszustwami związanymi z płatnościami?