Door: Erik Jan Koedijk, strategisch adviseur
Bij CEO fraude (Business Email Compromise) wordt een medewerker die betalingen voor de organisatie mag verrichten misleid om bedragen van de zakelijke bankrekening over te schrijven of een valse factuur te betalen.
Ook in Nederland komen er steeds meer voorbeelden naar buiten. Een bekend voorbeeld betreft uiteraard Pathé in 2018. De fraudeur wist de Pathé-medewerkers over te halen om diverse malen een aanzienlijk geldbedrag over te maken. In totaal betrof het een bedrag van ruim € 19.200.000,-.
CEO fraude neemt toe
Ook in de database van Rechtspraak.nl zijn interessante zaken te vinden zoals deze uitspraak waar een organisatie slachtoffer werd van CEO-fraude of deze uitspraak afgelopen week van Brabantia tegen Bol.com waarin te lezen is dat een medewerkster van de boekhoudafdeling van Brabantia Netherlands, gehackt werd door één of meerdere oplichters. Vanuit het e-mailadres van de medewerker is onder andere op 25 november 2019 een e-mail aan ‘supplierfinance@bol.com’ gestuurd met onder meer de volgende inhoud: ‘Bijgevoegd vindt u onze nieuwe betalingsroute zoals opgedragen door het management, doe het nodige voor de volgende betaling. Alvast bedankt!’
De begeleidende brief bevatte kort gezegd een verzoek om betalingen voortaan niet meer over te maken aan de bij Bol.com bekende bankrekening van Brabantia Netherlands maar aan een Spaanse bankrekening die ten name van ‘Brabantia International B.V.’ zou staan. Op deze manier – en andere in de uitspraak te lezen acties – maakten de criminelen maar liefst 751.493,09 euro buit.
TIPS voor organisaties
Organisaties hebben veel uitdagingen binnen de digitale transformatie en hebben regelmatig interne procedures in combinatie met ICT configuraties niet op orde. Het is essentieel om dit op orde te hebben aangevuld met goede bewustwording binnen de organisatie, dit alles om je medewerkers meer weerbaar te maken tegen digitale gevaren. Immers jouw medewerkers zijn in dit geval juist de sterkste schakel. Heb je behoefte om hier eens verder over te spreken neem dan contact op.
Hoe werkt CEO fraude (BEC) over het algemeen
Europol heeft al eerder aandacht besteed aan hoe CEO fraude (BEC) over het algemeen plaats kan vinden.
- De fraudeur belt of mailt en doet zich voor als een hooggeplaatst persoon binnen een bedrijf.
- De criminelen kennen de organisatie zeer goed. LinkedIn wordt veelal gebruikt als eerste speurtocht.
- Ze willen een dwingende betaling.
- Er wordt vaak taal gebruikt als ‘vertrouwelijkheid’, ‘De organisatie vertrouwt je’ of ‘Momenteel niet beschikbaar’.
- Ze verwijzen naar een gevoelige situatie. Denk aan: een belastingcontrole, overname of fusie.
- De werknemer wordt gevraagd de gewone procedures niet te volgen.
- Instructies over verdere stappen kunnen later worden gegeven door een derde persoon of via e-mail.
- De werknemer schrijft het geld over op een rekening die de fraudeur beheert.
- Vaak wordt er gevraagd om internationale betalingen, veelal banken buiten Europa.
Hoe herken je het?
Wanneer je in je onderbuik voelt dat iets niet goed zit is dat vaak ook zo. Zelfs wanneer er wel professionele interne procedures zijn lukt criminelen soms nog. Zo zou je criminelen kunnen herkennen:
- Een ongevraagd telefoontje of e-mail.
- Rechtstreeks contact met een hooggeplaatst persoon met wie je normaal geen contact hebt.
- Vraag om absolute geheimhouding.
- Druk en gevoel van dringendheid.
- Ongewone vraag in strijd met interne procedures.
- Bedreigingen of ongewone vleierij / beloften.
TIPS
Hierbij tips om CEO fraude / BEC te voorkomen. Uiteraard zijn er veel meer tips, maar laten we elkaar helpen.
1. Zorg dat je het intern op orde maakt!
Binnen veel organisaties merk ik dat er veel goede voornemens zijn om interne processen / procedures op orde te maken. Echter, door de waan van de dag of personeelswisselingen zijn ze vaak afwezig, gedateerd of onduidelijk. Onderneem nu actie en breng het op orde. Moedig daarnaast ook je personeel ook aan om voorzichtig te zijn met betalingsverzoeken en voer professionele interne protocollen in voor betalingen (b.v. het vier-ogen-principe).
2. Upgrade en update je technische beveiliging
Door migraties (bijvoorbeeld naar de cloud gaan met Office 365) kunnen regelmatig de instellingen worden verbeterd. Hiermee voorkom je ernstige incidenten. Zo kunnen mensen van buiten de organisatie – in geval van het missen van de juiste instellingen – vaak eenvoudig mailtjes sturen uit naam van de CEO of wie dan ook uit de organisatie (door spoofing). Ook kunnen e-mailboxen soms niet al te moeilijk te kraken te zijn, waardoor er misbruik van kan worden gemaakt. Zorg er dus morgen voor dat Spoofing technisch onmogelijk wordt gemaakt. Vraag jouw ICT professionals dit in de DNS te regelen + introduceer morgen ook twee factor authenticatie voor alles. Ook voor jouw Office 365 omgeving wanneer je die hebt.
3. Richt een professioneel awareness programma in voor de medewerkers
Dit is geen saaie verplichte e-learning en ook geen phishing training waar je weinig mee kunt meten maar een leuke, professionele en duurzame aanpak in de context van het werk van jouw medewerkers en de branche waarin jouw organisatie opereert. Meer info, neem contact met ons op, Samen Veiliger!
4. Pas op met wat je deelt op Social Media, zeker als je binnen finance / ICT werkt
Er wordt steeds meer gebruik gemaakt van social engineering. Ook om de e-mailboxen van jouw medewerkers te kraken. Ik denk dat de grootste databron voor criminelen om aan interessante ‘ingangen’ te komen LinkedIn is. Je kunt daar precies zien wie waarmee bezig is, immers ‘jan en alleman’ deelt daar allerlei interessante gegevens. Van welke tijdelijke baan ze hebben tot welke functie op bijvoorbeeld de afdeling administratie of finance. Zo weet een crimineel exact hoe rapporteringslijnen liggen. Maak dit dus in je teams bespreekbaar tot hoever je wat wilt delen op Social Media zoals LinkedIn.
5. Pas op wie wat kan instellen binnen het e-mailprogramma
Heb aandacht voor de wijze waarop jouw e-mail infrastructuur is ingericht. Zo maken criminelen vaak misbruik van functionaliteiten als het automatisch doorsturen van e-mails. Vraag is dan: wil je zoiets als organisatie niet blokkeren / beter beschermen? Ga dat gesprek aan met elkaar! En… heb jij bijvoorbeeld een Office 365 omgeving uitbesteed aan een ICT leverancier, neem contact op met me dan heb ik nog wat extra tips:-)
Interesse in hoe leuker en veiliger samen te werken, lees dan ook RESET! In Reset! lees je ook veel tips over hoe om te gaan met cyberweerbaarheid in jouw organisatie en voor organisaties zijn cyberweerbaarheidswebinars beschikbaar.
Stuur dit door
Belangrijk is elkaar samen veiliger te maken, stuur daarom dit blog door, zodat ook jouw vrienden en dierbaren actie ondernemen om CEO fraude / BEC in hun organisatie te voorkomen.