Fikk du i det siste en e-post fra «administrerende direktør» der du ba om å overføre penger til en «leverandør»? Ikke gjør det! Jeg skal forklare det i detalj.
La oss starte dette med en liten bakgrunnshistorie.
CEO-svindel skjedde med meg nesten to måneder etter at jeg begynte i tipsbilk.net som forfatter på heltid.
Det var ikke tydelig med en gang, siden svindleren brukte et kjent domenenavn Virgin Media ([email protected]), og jeg trodde min administrerende direktør på en eller annen måte var knyttet til dette telekommunikasjonsselskapet siden begge er lokalisert i Storbritannia.
Så jeg svarte på initialen «Jeg vil gjerne tildele deg en oppgave, er du ledig?» positivt. Deretter beskrev avsenderen en oppgave som omfattet overføring av INR 24 610 (~$300) til en leverandør, hvis detaljer ville blitt delt hvis jeg hadde samtykket.
Men dette gjorde meg litt mistenksom, og jeg ba avsenderen om å bevise sin identitet før jeg kunne overføre noe. Noen få e-poster senere ringte svindleren opp, og jeg sendte samtalen til min faktiske administrerende direktør og Virgin Media IT-celle.
Selv om jeg ikke hadde noen tidligere opplæring for å håndtere denne typen svindel, var jeg heldig som ikke gikk i denne fellen.
Men vi bør ikke stole på ren flaks; i stedet vet dette på forhånd og utdann andre.
Innholdsfortegnelse
CEO Fraud, også kjent som Executive Phishing
Dette kommer under spear phishing, et angrep rettet mot en bestemt organisasjon eller noen av dens ansatte. Det vil bli kjent som et hvalfangst-phishing-angrep hvis målet er en høyprofilert ansatt (som en c-suite) ved en hvilken som helst institusjon.
Federal Bureau of Investigation, USA, merker disse svindelene under Business Email Compromise (BEC) eller Email Account Compromise (EAC), som sto for nesten 2,4 milliarder dollar i tap i 2021, ifølge denne Internet Crime Report.
Geografisk er Nigeria nummer én land som er vertskap for 46 % av CEO-svindelene, fulgt av USA (27 %) og Storbritannia (15 %).
Hvordan virker dette?
Spesielt trenger ikke CEO-svindel noen tekniske ferdigheter eller kriminell kunnskap. Alt du får er en tilfeldig e-post og sosial utvikling for å lure deg til å sende penger eller avsløre sensitive detaljer for videre ulovlig handling.
La oss se på noen måter dårlige skuespillere gjør dette på «for øyeblikket».
Type 1
En tilfeldig e-postadresse som påtrenger at administrerende direktør ber om penger er den enkleste formen for slike lureri. Og denne er lett å få øye på. Alt du trenger å se etter er e-postadressen (og ikke navnet).
Generelt sett er domenenavnet ([email protected]) gir bort svindel. Imidlertid kan e-postadressen indikere en kjent organisasjon (som det var i mitt tilfelle).
Disse utmerkelsene ga legitimitet til svindelen, som kan gjøre en uinformert profesjonell til ofre. I tillegg kan e-postadressen se ekte ut, men med små umerkelige endringer, som @gmial.com i stedet for @gmail.com.
Til slutt kan det være fra en legitim, men kompromittert e-postadresse, noe som gjør det ekstremt vanskelig å oppdage svindelen.
Type 2
En annen mer sofistikert teknikk bruker videosamtaler. Dette inkluderer en «administrert» e-postadresse til en topprangert tjenestemann som sender «haster» nettmøteforespørsler til sine ansatte, for det meste i finansavdelingen.
Deretter ser deltakerne et bilde uten lyd (eller med en dypfalsk lyd) med en påstand om at tilkoblingen ikke fungerer som forventet.
Deretter ber «bedriftslederen» om å sette i gang en bankoverføring til ukjente bankkontoer, hvorfra pengene blir sugd av via andre kanaler (les kryptovalutaer) etter en vellykket svindel.
Type 3
Denne er en variant av Type 1, men retter seg mot forretningspartnere og ikke ansatte, og får et navn – fakturasvindel – mer egnet til dens modus operandi.
I dette tilfellet får en organisasjons klient en e-post for å raskt betale en faktura til bestemte bankkontoer.
Kilde: CBC News
Denne har den høyeste suksessraten ettersom den vanligvis oppnås ved å bruke en hacket firma-e-postadresse. Og siden e-post er måten, noen ganger utelukkende, fagfolk kommuniserer på, resulterer det i enorme økonomiske tap og omdømmetap for målorganisasjonen.
Hvordan sjekke CEO-svindel?
Som ansatt er det vanskelig å avvise en forespørsel fra din egen administrerende direktør. Denne psyken er hovedårsaken til at gjerningsmenn enkelt oppnår suksess med bare en tilfeldig e-post.
I tillegg til å stille spørsmål ved økonomiske forespørsler, er det best å be om et videomøte før du «samarbeider».
Dessuten, i de fleste tilfeller trenger du bare å sjekke e-postadressen nøye. Dette tilhører kanskje ikke organisasjonen din eller kan ha feilstavede versjoner av firmanavnet.
Dessuten kan ikke en institusjon registrere alle domeneutvidelser. Så du må passe deg for å få en e-post fra [email protected] når den offisielle adressen skal være [email protected]
Til slutt kan det hende du mottar e-poster fra en bedriftsadresse som drives «utenfra» eller et useriøst internt medlem. Nøkkelen til en slik situasjon er verbal bekreftelse eller å holde flere ledere i løkken før du foretar betalinger.
Og den mest effektive måten å beskytte organisasjonen din på, hvis du leder en, er å inkludere phishing-simulering i rutinemessig opplæring av ansatte. Fordi disse svindlerne hele tiden utvikler seg. Så å gi en enkelt engangsadvarsel vil ikke hjelpe dine ansatte mye.
Avslutning!
Dessverre er vi sterkt avhengige av forretningse-poster, og etterlater store smutthull som kriminelle ofte utnytter.
Selv om det ikke finnes en erstatning for denne formen for kommunikasjon ennå, kan vi legge til forretningspartnere på applikasjoner som Slack eller til og med WhatsApp. Dette vil hjelpe raskt å bekrefte om noe virker mistenkelig og unngå slike tilbakeslag.
PS: Hvis jeg var deg, ville jeg ikke gå glipp av denne artikkelen som dekker typer nettkriminalitet for økt internettkunnskap.