Kompromettering av företagsmejl, eller BEC, är en av de mest kostsamma typerna av bedrägerier som företag utsätts för. Till skillnad från nätfiske som skickas till tusentals personer samtidigt är BEC riktat. Kriminella undersöker ett företag, tar reda på vem som godkänner betalningar och utformar meddelanden som ser helt äkta ut.
Ofta förekommer varken skadlig kod eller uppenbar hackning. Bedrägeriet fungerar eftersom någon som mottagaren litar på övertalas att godkänna en betalning eller dela känslig information – vilket är anledningen till att BEC ofta kallas ett förtroendebedrägeri snarare än ett teknikbedrägeri.
Det kan drabba företag av alla storlekar. Större organisationer är attraktiva på grund av högre transaktionsvärden, men mindre företag utsätts ofta just eftersom de har färre formella kontroller på plats.
Så fungerar det
Bedrägeriet börjar vanligtvis långt innan någon betalningsbegäran dyker upp. Kriminella samlar in information från offentliga webbplatser, sociala medier, företagsmeddelanden, leverantörsrelationer och organisationsscheman för att skapa sig en bild av hur betalningar godkänns och av vem.
De skapar sedan en övertygande e-postadress, tar över en riktig e-postbrevlåda eller utger sig för att vara någon som redan deltar i en legitim transaktion. Eftersom mejlet ser ut att vara en del av det dagliga arbetet går betalningsbegäran ofta igenom utan en närmare kontroll.
Vissa attacker använder falska fakturor. Andra ber om att en leverantörs bankuppgifter ska ändras. I mer sofistikerade fall läser bedragare riktiga e-posttrådar i flera veckor innan de slår till vid det mest övertygande tillfället.
Så kan det se ut
En ekonomiavdelning väntar på en faktura från en vanlig leverantör. Några dagar innan den ska betalas kommer ett mejl om att leverantören har ändrat sina bankuppgifter. Tidpunkten känns rätt, formuleringarna känns välbekanta och begäran verkar rimlig – så betalningen genomförs.
Flera veckor senare hör den riktiga leverantören av sig och frågar varför deras faktura inte har betalats. Då upptäcker företaget att pengarna i stället gick till en kriminell. Bedrägeriet fungerade eftersom det smälte in i en normal affärsprocess.
Varför bedrägeriet fungerar
BEC lyckas på grund av mänskligt beteende, inte teknik. Bedragare utnyttjar förtroende, rutiner och brådska – när en begäran följer ett välbekant mönster känns den naturligt mindre riskfylld.
Medarbetarna är inte oförsiktiga. De hanterar det som ser ut som en vanlig transaktion, eftersom det är precis så bedragaren vill att det ska se ut.
Skydda företaget
Det bästa skyddet är oberoende verifiering. Ändra aldrig betalningsinstruktioner enbart utifrån information i ett mejl – bekräfta alla ändringar med hjälp av kontaktuppgifter som du redan har sparade, inte uppgifterna som anges i själva begäran.
Andra kontroller som kan hjälpa:
- Dubbelt godkännande av betalningar
- Åtskillnad av arbetsuppgifter
- Betalningsgränser
- Rutiner för leverantörsverifiering
- Utbildning i bedrägerimedvetenhet
- En eskaleringsprocess för ovanliga begäranden
Förebyggande av bedrägerier fungerar bäst när dessa kontroller fungerar tillsammans, inte var och en för sig.
Viktig slutsats
En betalningsbegäran kan se helt legitim ut och ändå vara bedräglig. Förtroende får aldrig ersätta verifiering.
Relaterade artiklar
- Vad är fakturabedrägeri?
- Vad är leverantörsbedrägeri?
- Vad är vd-bedrägeri?
- Hur kan företag skydda sig mot betalningsbedrägerier?