Kompromisse bei geschäftlichen E-Mails - Ist Ihre Organisation dazu bereit?

Sie sehen unschuldig aus. Sie sehen aus wie E-Mails, die von einer Führungskraft an einen CEO oder von einem CEO an einen Finanzierer gesendet werden. Kurz gesagt, die E-Mails sind eher geschäftlicher Natur. Wenn Ihr CEO Ihnen eine E-Mail mit Informationen zu Ihren Steuern sendet, wie wahrscheinlich ist es, dass Sie ihm alle Details mitteilen? Denken Sie darüber nach, warum der CEO an Ihren Steuerdaten interessiert ist? Lass uns sehen wie Kompromisse bei geschäftlichen E-Mails Es passiert, wie die Leute mitgenommen werden und einige Punkte später, wie sie mit der Bedrohung umgehen sollen.

Kompromisse bei geschäftlichen E-Mails

Business-E-Mail-Kompromiss-Scams nutzen normalerweise Schwachstellen in verschiedenen E-Mail-Clients aus und lassen eine E-Mail so aussehen, als ob sie von einem vertrauenswürdigen Absender Ihrer Organisation oder Ihres Geschäftspartners stammt.

Geschätzter Verlust in den letzten drei Jahren aufgrund von Business-E-Mail-Kompromissen

Zwischen 2013 und 2015 wurden Geschäfte in 79 Ländern getäuscht - in den USA, Kanada und Australien an der Spitze. Die Daten für 2015 bis 2016 liegen noch nicht vor, könnten aber meiner Meinung nach gestiegen sein, weil Cyberkriminelle aktiver sind als je zuvor. Mit E-Mail-Spoofing und IoT-Ransomware können sie so viel Geld verdienen, wie sie möchten. Ich werde Ransomware in diesem Artikel nicht behandeln; bleib einfach bei BEC (Geschäfts-E-Mail-Kompromiss).

Wenn Sie wissen möchten, wie viel Geld aus den 79 Ländern in den Jahren 2013 bis 2015 betrogen wurde, beträgt die Zahl…

3,08,62,50,090

… Von 22 Tausend Geschäftshäusern in den 79 Ländern! Die meisten dieser Länder gehören der entwickelten Welt an.

Wie funktioniert es?

Wir haben vorher über E-Mail-Spoofing gesprochen. Es ist die Methode, die Absenderadresse zu manipulieren. Durch die Verwendung von Schwachstellen in verschiedenen E-Mail-Clients lässt es die Cyber-Kriminellen so aussehen, als ob die E-Mail von einem vertrauenswürdigen Absender stammt - jemandem in Ihrem Büro oder jemandem von Ihren Kunden.

Abgesehen von der Verwendung von E-Mail-Spoofing gefährden Cyberkriminelle manchmal die E-Mail-IDs verschiedener Personen in Ihrem Büro und verwenden sie, um Ihnen E-Mails zu senden, die aussehen, als würden sie von einer Behörde stammen und vorrangig behandelt werden.

Social Engineering hilft auch dabei, die E-Mail-IDs und dann die Geschäftsdetails und das Geschäftsgeld herauszuholen. Wenn Sie beispielsweise ein Kassierer sind, erhalten Sie möglicherweise eine E-Mail vom Lieferanten oder einen Anruf, in dem Sie aufgefordert werden, die Zahlungsweise zu ändern und zukünftige Beträge auf ein neues Bankkonto (das den Cyberkriminellen gehört) zu überweisen. Da die E-Mail so aussieht, als würde sie vom Lieferanten stammen, glauben Sie, anstatt sie zu überprüfen. Solche Taten werden gerufen Rechnung Takelage oder gefälschte Rechnungsbetrug.

Ebenso erhalten Sie möglicherweise eine E-Mail von Ihrem Chef, in der Sie aufgefordert werden, ihm Ihre Bank- oder Kartendaten zu senden. Die Kriminellen können einen beliebigen Grund angeben, etwa Bargeld auf Ihr Konto oder Ihre Karte einzuzahlen. Da die E-Mail von einem Boss kommt oder aussieht, als würde er vom Chef kommen, werden Sie nicht lange darüber nachdenken und würden so schnell wie möglich darauf antworten.

In einigen anderen Fällen wurden Sie von einem CEO eines Unternehmens in einer E-Mail gefragt, in der Sie nach den Details Ihrer Kollegen gefragt werden. Die Idee ist, die Autorität anderer zu nutzen, um Sie und Ihr Unternehmen zu betrügen. Was werden Sie tun, wenn Sie eine E-Mail von Ihrem CEO erhalten, die besagt, dass auf ein bestimmtes Konto Geld überwiesen werden muss? Würden Sie den entsprechenden Protokollen nicht folgen? Warum hat der CEO sie dann umgangen? Wie ich bereits gesagt habe, nutzen Cyberkriminelle die Autorität einer Person in Ihrem Unternehmen, um Sie unter Druck zu setzen, wichtige Informationen und Geld aufzugeben.

Kompromisse bei Geschäfts-E-Mails: Wie Sie verhindern können?

Es sollte ein System geben, das nach bestimmten Wörtern oder Phrasen suchen kann und basierend auf den Ergebnissen falsche E-Mails klassifizieren und entfernen kann. Es gibt einige Systeme, die die Methode verwenden, um Spam und Junk umzuleiten.

Im Falle von Business Compromise Scams oder CEO Frauds wird es schwierig, gefälschte E-Mails zu scannen und zu identifizieren, weil:

1. Sie sind personalisiert und sehen originell aus
2. Sie stammen von einer vertrauenswürdigen E-Mail-ID

Die beste Methode, um geschäftliche E-Mails zu verhindern, besteht darin, die Mitarbeiter zu schulen und sie aufzufordern, sicherzustellen, dass die entsprechenden Protokolle weitergeleitet werden. Wenn ein Kassierer eine E-Mail von seinem Chef sieht, in der er aufgefordert wird, einige Beträge auf ein bestimmtes Konto zu überweisen, sollte der Kassierer den Chef anrufen, um zu sehen, ob er wirklich Geld auf das scheinbar fremde Bankkonto überweisen möchte. Wenn Sie einen Bestätigungsanruf tätigen oder eine zusätzliche E-Mail schreiben, können die Mitarbeiter wissen, ob tatsächlich etwas zu tun ist oder ob es sich um eine gefälschte E-Mail handelt.

Da jedes Unternehmen über eigene Regeln verfügt, sollten die betroffenen Personen prüfen, ob das entsprechende Protokoll eingehalten wird. Es kann beispielsweise erforderlich sein, dass der CEO eine E-Mail an die Finanzabteilung und den Kassierer sendet, wenn er Geld benötigt. Wenn Sie feststellen, dass der CEO den Kassierer direkt kontaktiert hat und keinen Beleg oder Brief an die Buchhaltung gesendet hat, sind die Chancen hoch, dass es sich um eine gefälschte E-Mail handelt. Oder wenn es keine Aussage darüber gibt, warum der CEO Geld auf ein Konto transferiert, stimmt etwas nicht. Eine Abrechnung hilft der Buchhaltung bei der Bilanzierung der Bücher. Ohne diese Anweisung können sie keinen ordnungsgemäßen Eintrag im Bürobuch erstellen.

Sie können auch Folgendes tun: Vermeiden Sie kostenlose webbasierte E-Mail-Konten, und achten Sie darauf, was auf sozialen Medien und auf Unternehmenswebseiten angezeigt wird. Erstellen Sie Regeln für das System zur Erkennung von Sicherheitsverletzungen, die E-Mails mit Erweiterungen kennzeichnen, die denen von Unternehmens-E-Mails ähneln.

Daher ist die grundlegende und effektivste Methode zur Verhinderung von geschäftlichen E-Mails die Wachsamkeit. Dies führt dazu, dass die Mitarbeiter über mögliche Probleme aufgeklärt werden und wie Gegenüberprüfungen usw. durchgeführt werden können. Es ist auch eine gute Praxis, Unternehmensdaten nicht mit Fremden zu besprechen, die nichts mit dem Geschäft zu tun haben.

Wenn Sie Opfer dieser Art von E-Mail-Betrug sind, möchten Sie möglicherweise eine Beschwerde bei IC3.gov einreichen.