Wat is business email compromise (BEC)?

Business email compromise is een cyberaanval waarbij criminelen zich voordoen als iemand die je vertrouwt om je te misleiden geld te sturen of gevoelige gegevens af te geven. Aanvallers besteden weken aan het leren hoe een bedrijf communiceert, wie de bevoegdheid heeft en wanneer ze moeten toeslaan. Tegen de tijd dat de e-mail aankomt, ziet die eruit als een normale e-mail van iemand die je kent.

Hoe werkt een BEC-aanval?

Er is een beproefd draaiboek voor deze aanvallen, en oplichters volgen het elke keer.

Stap 1 – Vind het doelwit

Het hele punt van een business email compromise-aanval is dat die overtuigend moet zijn. Gelukkig voor aanvallers is het internet een goudmijn aan informatie over potentiële doelwitten. Een snelle blik op je socialmediaprofiel kan je baan, goede vrienden en zelfs je toon onthullen. Voeg dat samen met persberichten over toekomstige stappen van je bedrijf en bio's van bedrijfswebsites, en het begint geloofwaardig te lijken.

Aanvallers kunnen al die informatie verzamelen en binnen enkele seconden een e-mail maken die eruitziet en klinkt als the real deal.

Stap 2 – Kom in de inbox

Om de inhoud van de e-mail echt te laten lijken, moeten aanvallers die verpakken in een glanzend, geloofwaardig jasje. Als het e-mailadres niet van een vertrouwde bron lijkt te komen, valt de hele fraude in het water.

Aanvallers kunnen het domein spoofen door een naam te registreren zoals acme-corp.com in plaats van acmecorp.com. Of, als ze slim genoeg zijn, de echte inbox hacken, waardoor die bijna niet te onderscheiden is van een echt bericht.

Als het eruitziet als een eend en kwaakt als een eend, zullen de meesten tenslotte denken dat het een eend is.

Stap 3 – Vertrouwen opbouwen

Bij deze aanvallen is geduld de sleutel tot succes. Aanvallers kunnen zich wekenlang verbergen in een gehackte inbox, e-mailthreads lezen en communicatiestijlen leren kennen. Wanneer de e-mail uiteindelijk aankomt, gaat die op in eerdere e-mails en weerspiegelt hij de toon en het verloop van het gesprek.

Stap 4 – Het verzoek doen

Zodra aanvallers je door en door kennen — je toon, de namen en functietitels van je collega's en wat er in je bedrijf speelt — en ze zich met succes toegang tot je e-mail hebben verschaft, wordt het verzoek verzonden.

Meestal gaat het om iets dat niet gemakkelijk ongedaan kan worden gemaakt. Het kan gaan om geld overmaken naar een bankrekening of het delen van privé-informatie. De kern is dat het onomkeerbaar moet zijn. 

Zodra het doelwit beseft dat er iets mis is, moet de schade voor de aanvaller al zijn aangericht. Als ze extra sluw zijn, sturen ze het misschien zelfs tijdens een feestperiode wanneer iedereen minder alert is en de kans op succes groter is.

Stap 5 – Spoorloos verdwijnen

Nadat het geld is verzonden, wordt het snel verplaatst via een reeks tussenrekeningen. Die bevinden zich meestal in het buitenland, waardoor het geldspoor zelfs voor opsporingsdiensten erg moeilijk te volgen is.

Voorbeeld van business email compromise

Business email compromise is de eindbaas van digitale aanvallen. Het gaat meestal om grote bedrijven en duizelingwekkende geldbedragen.

Toyota Boshoku ($37M)

In 2019 verloor een van Toyota's grootste leveranciers tientallen miljoenen in één enkele overboeking. De aanvaller brak in in het e-mailsysteem van Toyota Boshoku. Ze lazen berichten en leerden hoe het bedrijf communiceerde. Toen er in een gesprek een grote geldoverboeking ter sprake kwam, vroegen ze iemand binnen het bedrijf met de bevoegdheid om geld te verplaatsen de bankrekeninggegevens voor de overboeking bij te werken. Het zag er legitiem uit en het geld werd verzonden. 

Zomaar ineens, $37 miljoen, weg.

Google en Facebook ($120M)

Tussen 2013 en 2015 werden Google en Facebook getroffen door de ultieme nep-leveranciersfraude. Een crimineel registreerde een nepbedrijf met exact dezelfde naam als een legitieme hardwarefabrikant die beide bedrijven gebruikten. Hij vervalste contracten en stuurde routinematig ogende facturen rechtstreeks naar hun boekhoudafdelingen. Omdat de leverancier al was gecontroleerd en vertrouwd, werden de betalingen zonder aarzeling goedgekeurd. In twee jaar tijd ging meer dan $120 miljoen rechtstreeks naar de bankrekeningen van de oplichter.

Ubiquiti Networks ($46.7M)

In 2015 werd netwerkgigant Ubiquiti slachtoffer van een vergelijkbare fraude. De aanvaller nam niet de moeite om een nepbedrijf op te zetten of externe leveranciers te hacken. In plaats daarvan braken ze in, deden zich voor als topbestuurders van het bedrijf en stuurden dringende overboekingsverzoeken rechtstreeks naar de interne financiële afdeling. Alleen al op basis van het gezag van de naam van de nepbestuurder volgde de medewerker de instructies op en maakte het geld over naar het buitenland. Tegen de tijd dat iemand eraan dacht het nog eens te controleren, was $46.7 miljoen verzonden.

Soorten business email compromise-aanvallen

Niet alle voorbeelden van business email compromise zien er hetzelfde uit. Natuurlijk is het doel altijd om mensen te misleiden zodat ze zoveel mogelijk geld afgeven, maar de aanpak kan heel verschillend zijn.

CEO-fraude (nabootsing van leidinggevenden)

Dit is de bekendste vorm van BEC. Een aanvaller doet zich voor als een senior leidinggevende, meestal een CEO of CFO, en zet iemand van finance onder druk om geld over te maken. Het werkt vanwege de machtsdynamiek. Als de baas iets wil, staan de meeste mensen niet stil om te vragen waarom. Als dit vervolgens wordt gecombineerd met een geloofwaardig achtergrondverhaal, is dat genoeg om iemand te laten handelen zonder er twee keer over na te denken.

Vendor email compromise

Aanvallers richten zich op relaties buiten het bedrijf in plaats van te doen alsof ze iemand binnen het bedrijf zijn. Ze richten zich op vertrouwde leveranciers en vendors, mengen zich in bestaande e-mailgesprekken en vervangen echte betaalgegevens door die van henzelf. Vanuit het perspectief van het slachtoffer lijkt het op een routinematige update van een factuur van een leverancier met wie ze al jaren samenwerken.

Accountovername

Dit is de gevaarlijkste variant omdat er geen spoofing aan te pas komt. De aanvaller gebruikt het echte account. De e-mail komt van een echt adres en gebruikt de juiste toon. Het bericht ziet er volledig normaal uit, omdat het dat technisch gezien ook is.

Omleiding van salarisbetalingen

Deze richt zich niet op het geld van het bedrijf. In plaats daarvan richt hij zich op de werknemers. Aanvallers doen zich voor als HR of als een werknemer en vragen om een update van de salarisadministratie, waarbij ze ongemerkt een salaris omleiden naar een rekening die zij beheren. 

Het slachtoffer ontdekt het pas op betaaldag, en omdat de bedragen kleiner zijn en het verzoek er normaal uitziet, activeert het zelden een fraudewaarschuwing. Het is een tragere versie van BEC, maar als je genoeg werknemers treft, loopt het snel op.

BEC vs phishing – Wat is het verschil?

Phishing-e-mails bestaan al heel lang, en de meeste mensen weten hoe zoiets eruitziet. Het is die e-mail die je vertelt dat je een prijs hebt gewonnen, of dat een Nigeriaanse prins je hulp nodig heeft. Ze worden massaal verstuurd en vertrouwen op pure aantallen om iemand onvoorbereid te betrappen.

Waar phishing een net is, is BEC een sluipschutter. Aanvallers besteden weken aan onderzoek naar één bedrijf, soms naar één specifieke persoon. Tegen de tijd dat de e-mail aankomt, lijkt het op een bericht op dinsdagochtend van iemand die je kent.

Phishing is meestal uit op je inloggegevens, maar BEC slaat die stap helemaal over en gaat rechtstreeks voor het geld of de gegevens.

Hoe herken je een business email compromise-aanval?

BEC-aanvallen zijn ontworpen om er normaal uit te zien. Maar als je weet waar je op moet letten, zijn de signalen er wel degelijk.

• De haast— Een e-mail die je onder druk zet om snel geld over te maken, zonder ruimte om te stoppen en te verifiëren.

• De plotselinge verandering — Een leverancier of collega heeft ineens zomaar zijn betaalgegevens bijgewerkt.

• Het bijna-juiste adres — Het e-mailadres van de afzender wijkt maar één teken af van het echte.

• De toon die net niet klopt— Iets voelt niet goed: te formeel, te informeel of vreemd geheimzinnig.

• Het verzoek uit het niets — Je wordt gevraagd iets te doen dat normaal via een ander kanaal zou verlopen.
  

Hoe voorkom je een business email compromise-aanval?

Weten hoe deze aanvallen werken is het halve werk. De andere helft is ervoor zorgen dat je bedrijf geen gemakkelijk doelwit is.

Pak de telefoon

Als een e-mail je vraagt geld over te maken of betaalgegevens bij te werken, reageer er dan niet op. Bel de persoon rechtstreeks met een nummer dat je al hebt, niet met het nummer uit de e-mail. Het kost dertig seconden en het is veruit het effectiefste wat je kunt doen.

Schakel tweefactorauthenticatie in

Als een aanvaller iemands inloggegevens in handen krijgt, kan 2FA een volledige overname van de inbox blokkeren. Het stopt niet alles, maar het maakt accountcompromittering aanzienlijk moeilijker.

Leer je team hoe goed eruitziet

Regelmatige training over wat BEC is, hoe het werkt en hoe de rode vlaggen eruitzien, kan van je werknemers een verdedigingslinie maken.

Laat je tools een deel van het zware werk doen

Spamfilters en domeinauthenticatietools zoals SPF, DKIM, and DMARC kunnen BEC-pogingen eruit filteren voordat ze je team bereiken. Detectie op basis van AI gaat nog een stap verder. Het leert hoe normaal e-mailgedrag binnen je organisatie eruitziet en markeert alles wat verdacht is.