Hva er business email compromise (BEC)?

Business email compromise er et cyberangrep der kriminelle utgir seg for å være noen du stoler på for å lure deg til å sende penger eller utlevere sensitive data. Angripere bruker uker på å lære hvordan et selskap kommuniserer, hvem som har myndighet, og når de skal slå til. Når e-posten først kommer, ser den ut som en vanlig e-post fra noen du kjenner.

Hvordan fungerer et BEC-angrep?

Det finnes en velprøvd oppskrift for disse angrepene, og svindlere følger den hver eneste gang.

Trinn 1 – Finn målet

Hele poenget med et business email compromise-angrep er at det må være overbevisende. Heldigvis for angriperne er Internett en gullgruve av informasjon om potensielle mål. Et raskt blikk på profilen din i sosiale medier kan avsløre jobben din, nære venner og til og med tonefallet ditt. Setter man dette sammen med pressemeldinger om selskapets fremtidige planer og biografier fra selskapets nettsider, begynner det å se troverdig ut.

Angripere kan skrape all denne informasjonen og i løpet av sekunder lage en e-post som ser ut og høres ut som den ekte varen.

Trinn 2 – Kom deg inn i innboksen

For at innholdet i e-posten skal virke ekte, må angriperne pakke det inn i en glanset, troverdig innpakning. Hvis e-postadressen ikke ser ut til å komme fra en pålitelig kilde, vil hele svindelen falle sammen.

Angripere kan forfalske domenet ved å registrere et navn som acme-corp.com i stedet for acmecorp.com. Eller, hvis de er smarte nok, hacke den ekte innboksen, noe som gjør det nesten umulig å skille det fra en ekte melding.

Tross alt, hvis det ser ut som en and og kvekker som en and, vil de fleste tro at det er en and.

Trinn 3 – Bygg tillit

Med disse angrepene er tålmodighet nøkkelen. Angripere kan skjule seg i en hacket innboks i ukevis, lese e-posttråder og lære kommunikasjonsstiler. Når e-posten endelig kommer, glir den inn blant tidligere e-poster og speiler tonen og flyten i samtalen.

Trinn 4 – Kom med forespørselen

Når angriperne kjenner deg ut og inn — tonefallet ditt, navnene og titlene til kollegene dine, og hva som skjer i selskapet ditt — og de har klart å snike seg inn i e-posten din, blir forespørselen sendt.

Det er vanligvis noe som ikke enkelt kan gjøres om. Det kan innebære å sende penger til en bankkonto eller dele privat informasjon. Nøkkelen er at det må være irreversibelt. 

Når målet innser at noe er galt, må angriperen sørge for at skaden allerede er skjedd. Hvis de er ekstra utspekulerte, kan de til og med sende det i en høytidsperiode når alle er mindre på vakt, og sjansen for å lykkes er større.

Trinn 5 – Forsvinn uten spor

Etter at pengene er sendt, flyttes de raskt gjennom en rekke mellomleddskontoer. Disse er vanligvis basert i utlandet, noe som gjør pengesporet svært vanskelig å følge selv for politiet.

Eksempel på business email compromise

Business email compromise er den endelige sjefen blant digitale angrep. Det involverer vanligvis store selskaper og svimlende pengesummer.

Toyota Boshoku ($37M)

I 2019 mistet en av Toyotas største leverandører titalls millioner i én enkelt overføring. Angriperen brøt seg inn i e-postsystemet til Toyota Boshoku. De leste meldinger og lærte hvordan selskapet kommuniserte. Da en stor pengeoverføring kom opp i samtalen, ba de noen i selskapet med myndighet til å flytte penger om å oppdatere bankkontodetaljene for overføringen. Det så legitimt ut, og pengene ble sendt. 

Akkurat sånn, 37 millioner dollar, borte.

Google og Facebook ($120M)

Mellom 2013 og 2015 ble Google og Facebook rammet av den ultimate falske leverandørsvindelen. En kriminell registrerte en falsk virksomhet med nøyaktig samme navn som en legitim maskinvareprodusent begge selskapene brukte. Han forfalsket kontrakter og sendte tilsynelatende rutinemessige fakturaer direkte til regnskapsavdelingene deres. Fordi leverandøren allerede var godkjent og betrodd, ble betalingene autorisert uten en ekstra tanke. I løpet av to år gikk mer enn 120 millioner dollar rett inn på svindlerens bankkontoer.

Ubiquiti Networks ($46.7M)

I 2015 ble nettverksgiganten Ubiquiti offer for en lignende svindel. Angriperen brydde seg ikke om å opprette en falsk virksomhet eller hacke tredjepartsleverandører. I stedet brøt de seg inn, utga seg for å være toppledere i selskapet og sendte hasteforespørsler om overføringer direkte til den interne finansavdelingen. Kun ved å støtte seg på autoriteten i navnet til den falske lederen fulgte den ansatte ordren og overførte pengene til utlandet. Da noen endelig stoppet opp for å dobbeltsjekke, var 46,7 millioner dollar allerede sendt.

Typer business email compromise-angrep

Ikke alle eksempler på business email compromise ser like ut. Målet er selvfølgelig alltid å lure folk til å overføre så mye penger som mulig, men fremgangsmåten kan være veldig forskjellig.

CEO-svindel (utgivelse for å være leder)

Dette er den mest kjente formen for BEC. En angriper utgir seg for å være en toppleder, vanligvis en CEO eller CFO, og presser noen i finans til å flytte penger. Det fungerer på grunn av maktdynamikken. Når sjefen vil ha noe, stopper de fleste ikke opp for å spørre hvorfor. Hvis dette så kombineres med en troverdig bakgrunnshistorie, er det nok til å få noen til å handle uten å tenke seg om to ganger.

Kompromittering av leverandør-e-post

Angripere retter seg mot relasjoner utenfor selskapet i stedet for å late som de er noen på innsiden. De går etter betrodde leverandører og selgere, sniker seg inn i eksisterende e-postsamtaler og bytter ut ekte betalingsdetaljer med sine egne. Fra offerets side ser det ut som en rutinemessig oppdatering av fakturaopplysninger fra en leverandør de har jobbet med i årevis.

Kontoovertakelse

Dette er den farligste varianten fordi det ikke er noen spoofing involvert. Angriperen bruker den ekte kontoen. E-posten kommer fra en ekte adresse og bruker riktig tone. Meldingen ser helt normal ut, fordi den teknisk sett er det.

Omdirigering av lønn

Denne retter seg ikke mot selskapets penger. I stedet retter den seg mot de ansatte. Angripere utgir seg for å være HR eller en ansatt og ber om en oppdatering av lønnsutbetalingen, slik at en lønn stille omdirigeres til en konto de kontrollerer. 

Offeret oppdager det ikke før lønningsdag, og fordi beløpene er mindre og forespørselen ser normal ut, utløser det sjelden en svindelalarm. Det er en langsommere versjon av BEC, men rammer det nok ansatte, vokser det raskt.

BEC vs phishing – Hva er forskjellen?

Phishing-e-poster har eksistert lenge, og de fleste vet hvordan en ser ut. Det er den som forteller deg at du har vunnet en premie, eller at en nigeriansk prins trenger hjelpen din. De sendes i stort antall og er avhengige av ren mengde for å ta noen på senga.

Der phishing er et nett, er BEC en snikskytter. Angripere bruker uker på å undersøke ett selskap, noen ganger én bestemt person. Når e-posten først kommer, ser den ut som en tirsdagsmorgenmelding fra noen du kjenner.

Phishing er vanligvis ute etter innloggingsopplysningene dine, men BEC hopper helt over det steget og går rett etter pengene eller dataene.

Slik oppdager du et business email compromise-angrep

BEC-angrep er laget for å se normale ut. Men hvis du vet hva du skal se etter, er tegnene der.

• Hastverket— En e-post som presser deg til å flytte penger raskt, uten rom for å stoppe opp og verifisere.

• Den plutselige endringen — En leverandør eller kollega har plutselig oppdatert betalingsinformasjonen sin helt ut av det blå.

• Den nesten riktige adressen — Avsenderens e-post er bare ett tegn unna den ekte.

• Tonen som bare er litt feil— Noe føles feil, for formelt, for uformelt eller merkelig hemmelighetsfullt.

• Forespørselen fra ingensteds — Du blir bedt om å gjøre noe som normalt ville gått gjennom en annen kanal.
  

Slik forhindrer du et business email compromise-angrep

Å vite hvordan disse angrepene fungerer, er halve kampen. Den andre halvdelen er å sørge for at virksomheten din ikke er et lett mål.

Ta telefonen

Hvis en e-post ber deg om å overføre penger eller oppdatere betalingsdetaljer, ikke svar på den. Ring personen direkte ved å bruke et nummer du allerede har, ikke det som står i e-posten. Det tar tretti sekunder, og det er det mest effektive enkelttiltaket du kan gjøre.

Slå på tofaktorautentisering

Hvis en angriper får tak i noens innloggingsopplysninger, kan 2FA blokkere en full overtakelse av innboksen. Det stopper ikke alt, men det gjør kontokompromittering betydelig vanskeligere.

Lær teamet ditt hvordan det gode ser ut

Regelmessig opplæring i hva BEC er, hvordan det fungerer, og hvordan varselsignalene ser ut, kan gjøre de ansatte dine til en forsvarslinje.

La verktøyene dine ta noe av det tunge løftet

Spamfiltre og verktøy for domeneautentisering som SPF, DKIM, and DMARC kan filtrere ut BEC-forsøk før de når teamet ditt. AI-basert deteksjon går enda et steg videre. Den lærer hvordan normal e-postatferd ser ut i organisasjonen din og flagger alt som virker mistenkelig.