CEO-fraude is een vorm van oplichting en identiteitsdiefstal waar zowel grote als kleinere ondernemingen mee te maken krijgen. Wat CEO-fraude juist is, hoe je het kan herkennen en hoe je je onderneming er tegen kan beschermen, leggen we je graag uit in deze blog.
Wat is CEO-fraude?
CEO fraude, ook wel Business Email Compromise (BEC)-fraude genoemd, is een vorm van oplichting en identiteitsdiefstal waarbij cybercriminelen medewerkers van een onderneming contacteren met de vraag een belangrijke betaling uit te voeren. De oplichters nemen vaak de identiteit aan van de CEO, CFO of een vertrouwde persoon binnen het bedrijf en vragen een medewerker om uitzonderlijk een dringende betaling uit te voeren. Aangezien de medewerker de vraag lijkt te krijgen van de CEO, de advocaat, of de voorzitter van de raad van bestuur of een andere vertrouwde persoon uit het bedrijf, is de kans vrij groot dat de betaling effectief wordt uitgevoerd.
Hoe werkt CEO-fraude?
Social engineering
Cybercriminelen gaan op voorhand erg secuur te werk door middel van social engineering. Zo doen ze onderzoek naar de hiërarchie binnen het bedrijf, namen, functies en contactgegevens van verantwoordelijken en andere informatie die hen kan helpen bij hun fraude. Deze informatie is vrij beschikbaar op de website van het bedrijf, alsook social mediakanalen en online in databanken zoals het KBO. Met deze informatie zijn ze in staat om een valse identiteit te creëren. Een tweede stap bestaat erin een gelijkaardige domeinnaam met bijna identieke e-mailadressen te registreren. Is de inzet hoog? Dan kunnen ze zelfs een nieuwe bedrijfswebsite en LinkedIn profiel maken om de identiteitsdiefstal nog overtuigender te maken.
De meest voorkomende social engineering tactieken zijn:
Phishing
Bij phishing proberen aanvallers via e-mail, sms of soms zelfs telefoon delicate informatie te bekomen of je te verleiden om een malafide bijlage te downloaden of op een onbetrouwbare link te klikken.
Spear Phishing
Spear Phising is een zeer gerichte vorm van phishing. De aanval richt zich namelijk op een specifieke persoon of organisatie. Deze aanvallen zijn over het algemeen erg effectief aangezien de e-mail of het berichtje op sociale media verzonden lijkt te zijn door een legitieme afzender. Meestal gaat het hier dan over identiteitsdiefstal van een collega, de werkgever of een bekende.
Pretexting
Bij deze techniek verzint de aanvaller valse omstandigheden om het slachtoffer te dwingen toegang te geven tot beschermde systemen of gevoelige informatie.
Baiting
Bij deze strategie laten aanvallers apparaten geïnfecteerd met malware, zoals usb-sticks, achter op een plek waar iemand anders deze heel waarschijnlijk zal vinden. Onze aangeboren nieuwsgierigheid zal er voor zorgen dat iemand deze USB-stick uiteindelijk aan een toestel zal koppelen en hierdoor zijn computer en misschien zelfs het volledige netwerk infecteert met malware.
Meer succes bij grote bedrijven
Zowel grote als kleinere bedrijven krijgen met dit soort fraude te maken. In grote bedrijven zoals multinationals hebben ze doorgaans meer succes aangezien de boekhouding of administratie vaak in een ander filiaal of bij een dochteronderneming gevestigd zijn. Bovendien kennen deze medewerkers de CEO of CFO niet, durven ze de vraag van een overste niet in twijfel trekken of worden ze zo erg onder druk gezet dat er geen tijd lijkt te zijn om het verzoek verder na te trekken.
We merken echter ook dat kleinere ondernemingen alsook verenigingen en stichtingen meer en meer slachtoffer worden van CEO-fraude.
Spectaculaire stijging
Een onderzoek van het Belgisch Centrum voor Cyberveiligheid toont dat de FBI tussen juni 2015 en januari 2016 een verhoging van 1300% in verliezen voor ondernemingen door dit type van fraude rapporteerde. Dit was in totaal zo’n 3 miljard dollar. CEO-fraude en social engineering zijn dus al enkele jaren aan een sterke opmars bezig. Tientallen bedrijven hebben overal ter wereld – ook in ons land – al een klacht ingediend omdat zij op deze manier zijn opgelicht. In België betaalde een bank enkele jaren geleden zo’n 70 miljoen euro aan onbekende criminelen. Ook Google en Facebook werden al slachtoffer met verliezen tot 100 miljoen dollar. Hallucinant!
Hoe kan je CEO-fraude herkennen?
Vaak zijn medewerkers gelukkig nogal kritisch ingesteld en zullen ze niet zomaar grote bedragen overschrijven. Het is echter wel handig om te weten waar je bij verdachte mails (of telefoontjes) op kan letten om CEO-fraude en identiteitsdiefstal te herkennen en succesvol te voorkomen.
We bezorgen je hieronder graag enkele waarschuwingstekens:
- Je ontvangt een ongevraagde of vreemde e-mail of telefoonoproep van een e-mailadres of telefoonnummer dat je niet kent.
- Je wordt gecontacteerd door de CEO, CFO of een andere hooggeplaatste persoon binnen je onderneming waar je normaal geen rechtstreeks contact mee hebt.
- Er wordt gevraagd om een transactie in het uiterste geheim uit te voeren.
- Je wordt gevraagd een overschrijving te doen naar een onbekend rekeningnummer.
- Het verzoek dat je ontvangt is in strijd met de interne procedures binnen de onderneming.
- Er is een overheersend gevoel van druk en dringendheid.
- Je krijgt te maken met beloften of complimenten of zelfs met bedreigingen.
- Je ontvangt het dringend verzoek op vrijdagavond of vlak voor een feestdag.
- Er wordt een wijziging van de betalingsgegevens van een leverancier gemeld.
Hoe kan je CEO-fraude voorkomen?
Je weet nu al hoe je CEO-fraude en social engineering kan herkennen, super! Hiernaast geven we je ook graag een aantal tips waarmee je CEO-fraude binnen jouw onderneming kan voorkomen. Wanneer jouw bedrijf de juiste maatregelen neemt, heeft CEO-fraude namelijk weinig kans op slagen.
Maatregelen die je als bedrijf kan nemen:
- Wees je bewust van de risico’s en zorgt ervoor dat je medewerkers ook op de hoogte zijn en zijn bewust zijn van het gevaar van CEO-fraude en identiteitsdiefstal.
- Stel een interne procedure op voor het uitvoeren van betalingen waaraan medewerkers zich dienen te houden. Deze procedures kan je makkelijk opslaan en hanteren in bijvoorbeeld een procedurebibliotheek, zoals Teamify, die voor je medewerkers toegankelijk is.
- Voorzie ook een procedure in je procedurebibliotheek om de echtheid van betalingsverzoeken via e-mail te controleren.
- Zorg ook voor een meldprocedure binnen je onderneming om oplichting optimaal aan te pakken.
- Verbeter de technische veiligheid van je IT-infrastructuur en website.
- Herbekijk de informatie die op je website raadpleegbaar is zoals de bedrijfshiërarchie waarvoor cybercriminelen gebruik zouden kunnen maken en perk deze informatie indien nodig in.
- Spoor medewerkers aan om steeds voorzichtig om te gaan met het delen van informatie via sociale mediakanalen.
Maatregelen die je als werknemer kan nemen:
- Controleer steeds e-mailadressen en telefoonnummers wanneer je aan de slag gaat met gevoelige of vertrouwelijke informatie. Cybercriminelen gebruiken vaak e-mailadressen die enkele letters of tekens afwijken van het echte mailadres.
- Volg steeds de interne veiligheidsprocedures voor aankopen en betalingen.
- Twijfel je? Vraag dan raad aan een collega. Ook wanneer je gevraagd werd op discreet om te gaan met het verzoek. Better safe than sorry!
- Open nooit verdachte bijlagen of vreemde links die je via e-mail ontvangen hebt.
- Wees steeds voorzichtig met het delen van informatie op sociale media.
- Deel nooit informatie over procedures, veiligheid of hiërarchie met personen die niet in je onderneming actief zijn.
- Ontvang je een vreemde oproep of e-mail? Dan meld je dit aan de IT-verantwoordelijke.
Ben je toch slachtoffer van CEO-fraude of identiteitsdiefstal?
Ai! Hebben cybercriminelen toch hun slag kunnen slaan? Dan doe je best het volgende:
- Waarschuw onmiddellijk de verantwoordelijke van je onderneming.
- Doe aangifte van fraude. CEO-fraude is namelijk een strafbaar feit.
- Neem contact op met de persoon of organisatie waarvan cybercriminelen de identiteit gebruikt hebben om fraude te plegen.
- Is de betaling al uitgevoerd? Neem dan zo snel mogelijk contact op met je bank om de betaling alsnog tegen te houden.
Zo, nu weet jij alles over CEO-fraude. Maar is jouw onderneming ook optimaal beschermd tegen deze bedreiging? Onze IT-veiligheidsexperts kijken het graag voor je na!
Contacteer ons vandaag nog voor een vrijblijvend gesprek of stel je vraag via de chatfunctie op deze pagina!
