Scritto da: Tansy Brook Director of Product Marketing
Abbiamo tutti ricevuto un’e-mail che sembrava un po’ sospetta o che conteneva una richiesta insolita di informazioni finanziarie o personali. La maggior parte dei consumatori sa di cancellare queste email subito perché sono probabilmente una truffa. Ma cosa succede se avete ricevuto un’e-mail dal vostro CEO o CFO, e sembrava proprio come se si trattasse di loro? E se ti chiedessero di fare qualcosa che ti aspettavi di fare, ad esempio pagare un conto? E se menzionassero i nomi dei loro figli e altri dati personali?
Benvenuti nel nuovo mondo del Business Email Compromise (BEC). In questa forma crescente di criminalità informatica, i truffatori impersonano un’e-mail aziendale (di solito qualcuno in una posizione dirigenziale) e poi contattano un dipendente per chiedere un bonifico bancario o informazioni sui dipendenti. Secondo l’FBI, queste truffe di phishing sono aumentate del 2,370% tra il 2015 e il 2016, causando perdite per 5,3 miliardi di dollari.
“Il gruppo a maggior rischio sono le piccole e medie imprese (PMI)”, afferma Cary Scardina, agente speciale di supervisione della Federal Bureau of Investigation’s Cyber Division di Washington D.C. “Ho visto le piccole imprese subire perdite da 45.000 a diversi milioni di dollari, che possono essere devastanti, a seconda delle dimensioni dell’azienda”. Fortunatamente, esistono misure che le aziende possono adottare per ridurre il rischio di diventare vittime della BEC, e il modo migliore per iniziare il lavoro è semplicemente quello di essere consapevoli.
Oltre le minacce abituali
Quando Scardina descrive il BEC, limita il crimine a una sola parola: ” impersonificazione”. Al centro della truffa, i criminali informatici stanno semplicemente impersonando il capo di un dipendente o il dirigente finanziario di un’azienda. “Ma ora è di una qualità superiore a quella degli anni passati”, dice Scardina.
Non si tratta di e-mail di aziende lontane che hanno bisogno dell’aiuto dei dipendenti. Invece, i truffatori della BEC stanno effettuando hacking nelle caselle di posta elettronica dei dipendenti e poi conducono una sorveglianza sofisticata, a volte per settimane o più. L’aggressore terrà traccia del traffico e-mail per sapere come una persona parla, come vengono effettuati i trasferimenti elettronici e le altre richieste, persino quali soprannomi i dipendenti potrebbero utilizzare gli uni per gli altri.
Quando arriva il momento di condurre il crimine reale, una email fraudolenta può provenire da un account autentico o falsificato. Con un account non valido il dominio è leggermente sfalsato. Ad esempio, una ragione sociale può contenere una lettera aggiuntiva o un’e-mail può aggiungere un periodo tra il nome e il cognome. Gli aggressori chiedono quindi al destinatario di effettuare un pagamento tramite bonifico bancario e includono istruzioni su come farlo.
Le PMI sono target primari
Sempre più spesso, i criminali informatici effettuano phishing per informazioni aziendali di tipo W-2, che utilizzano per presentare dichiarazioni dei redditi fraudolente. L’IRS ha rilevato che più di 200 aziende – il che si traduce in centinaia di migliaia di dipendenti – sono state compromesse da tali truffe l’anno scorso.
Scardina afferma che le PMI sono le principali candidate per il trasferimento elettronico di compromissione delle e-mail aziendali e per le frodi nel W-2. “È qui che si può avere l’intersezione di importi elevati con una minore sicurezza IT”, afferma. Il settore immobiliare è stato testimone di gran parte dell’attività della BEC, in gran parte a causa delle transazioni che i realizzatori e gli altri soggetti coinvolti stanno conducendo. Ma i criminali non sono esigenti.
Scardina ha visto coinvolti anche studi medici, studi legali e persino allevamenti di suini. In molti casi, le aziende non colgono il trasferimento fraudolento per alcuni giorni. Si tratta di questioni che richiedono molto tempo: A quel punto, può essere difficile invertire il trasferimento o tracciare il denaro prima che sia suddiviso e ripartito in più conti all’estero.
Anticipa i truffatori
Come proteggere le vostre PMI dalle truffe BEC? Come per molte altre situazioni, la migliore difesa è un buon attacco. Scardina e l’FBI hanno offerto la seguente guida per ridurre il rischio di diventare vittima della BEC:
1. Verificare le richieste di trasferimento di denaro.
Istituire una politica aziendale che imponga ai dipendenti di verificare le richieste di trasferimenti via Internet, idealmente con un’autenticazione per telefono. Questo è particolarmente importante se la richiesta di trasferimento è considerata urgente dal mittente dell’e-mail, dice Scardina. Inoltre, consigliamo ai dipendenti di non discutere i dettagli dei bonifici bancari o dei conti bancari via e-mail e di confermare eventuali modifiche nel processo con la banca o il gestore.
2. Implementare sistemi di rilevamento.
Incaricare il team IT di creare un sistema che contrassegni le e-mail provenienti da domini simili al proprio e che possa essere utilizzato per creare un dominio di tipo “look-alike”. Altri suggerimenti utili includono l’aggiunta di una regola nell’account di posta elettronica che contrassegni automaticamente le e-mail in cui l’indirizzo di risposta è diverso dall’indirizzo di provenienza. Inoltre, è necessario conoscere le applicazioni esterne a cui i dipendenti si collegano con i propri computer implementando un’applicazione Cloud Access Security Broker (CASB).
3. Educare i dipendenti.
Eseguire alcune operazioni di social engineering e assicurarsi che i dipendenti siano a conoscenza dei segnali di avvertimento BEC. Contrassegna in rosso che un’e-mail potrebbe essere fraudolenta: Qualsiasi e-mail che fornisca informazioni via e-mail o richieda modifiche alle informazioni esistenti, richieste di pagamenti rapidi, richieste di informazioni W-2. “La segnalazione dovrebbe essere automatica”, dice Scardina. “I datori di lavoro dovrebbero avere una politica su come farlo”.
Se si sospetta di essere stati vittima di BEC, Scardina dice che la prima cosa da fare è chiamare l’istituto finanziario che ha inviato il messaggio. In alcuni casi, la banca può avviare un richiamo dei fondi. Chiamare quindi l’FBI e presentare un rapporto a IC3.gov. In questo modo l’FBI può seguire i dettagli del vostro caso. Infine, chiedete ai vostri dipendenti di modificare la password nella loro posta elettronica e in qualsiasi altra rete aziendale.
4. Adottare una passphrase.
Usare password più lunghe e cambiarle regolarmente sembra una cosa scontata. Tuttavia, gli standard tradizionali per le password incoraggiano le persone a utilizzare un’unica password, difficile da ricordare, in tutti i loro account. Grandi notizie! Nuove ricerche dimostrano che invece di avere una complicata miscela di caratteri speciali, numeri e maiuscole, l’utilizzo di una passphrase è più sicuro e facile da ricordare. Le password più lunghe che contengono più parole maiuscole e minuscole sono più sicure. Considerare la scelta di qualcosa di rilevante per voi (come un titolo di libro) che non sarebbe di pubblico dominio. Questo alleggerisce il “carico di memoria” degli utenti, rendendoli più inclini a seguire questa best practice di sicurezza.
Cambia regolarmente le tue passphrase. La nuova versione può essere simile alla frase precedente, ad esempio da “thesunalsorises in JAN” a “thesunalsorises in FEB”.
Il compromesso sulle e-mail aziendali rimane elevato e i cybercriminali diventano sempre più intelligenti. Prendete queste precauzioni per educare i vostri dipendenti contro le minacce ed evitare che la vostra azienda perda tempo, denaro e altro ancora a causa di una truffa e-mail.
4 modi per proteggere le PMI da BEC
Le truffe di questo tipo sono in aumento e costano 5,3 miliardi di dollari in perdite dal 2013. Per ridurre il rischio:
1. Verifica i trasferimenti via e-mail e le richieste di pagamento PII, anche da parte di persone conosciute.
2. Creare sistemi di rilevamento e-mail fraudolenti se si dispone di un team di sicurezza IT.
3. Educare i dipendenti.
4. Utilizzare password lunghe, modificarle regolarmente e non riutilizzarle per più account.