"Business Email Compromise" - um perigo para o seu negócio

Business Email Compromise (BEC) é um tipo de ataque que visa empresas que realizam transferências bancárias e têm fornecedores no estrangeiro.

Contas de e-mail empresariais ou publicamente disponíveis, de executivos ou funcionários de alto nível relacionados aos departamentos financeiros ou envolvidos com pagamentos por transferências bancárias são falsificadas ou comprometidas por meio de keyloggers ou ataques de phishing para utilização em transferências fraudulentas, resultando em centenas de milhares de euros em perdas.

Em 2016, os ataques de BEC levaram a uma média de 120.000€ em perdas para empresas de todo o mundo.

Anteriormente apelidados de golpes Man-in-the-Email, os atacantes de BEC dependem fortemente de táticas de engenharia social para enganar funcionários e executivos desavisados. Muitas vezes, eles se passam por CEO ou qualquer executivo autorizado a fazer transferências eletrônicas. Além disso, os atacantes também pesquisam cuidadosamente e monitoram de perto suas potenciais vítimas e as suas empresas.

Algumas das mensagens de e-mail de amostra têm assuntos contendo palavras como solicitação, pagamento, transferência e urgência, entre outros. Baseado no FBI, existem 5 tipos de fraude BEC:

• O Esquema de Fatura Falsa - Empresas com fornecedores estrangeiros são frequentemente visadas com essa tática, na qual os atacantes fingem ser os fornecedores que solicitam transferências de fundos para pagamentos a uma conta pertencente aos atacantes.
• Os CEO Fraud-Attackers representam o CEO da empresa ou qualquer executivo e enviam um e-mail aos funcionários do dep. financeiro, solicitando que transfiram dinheiro para a conta que controlam.
• Comprometimento da conta - Uma conta de e-mail de um executivo ou funcionário é hackeada e usada para solicitar pagamentos de faturas aos fornecedores listados em seus contatos de e-mail. Os pagamentos são enviados para contas bancárias fraudulentas.
• Representação de advogado - Os invasores fingem ser um advogado ou alguém do escritório de advocacia supostamente encarregado de assuntos cruciais e confidenciais. Normalmente, essas solicitações falsas são feitas por e-mail ou telefone e durante o final do dia útil.
• Roubo de dados - Os funcionários dos RH e contabilidade são direcionados para obter informações pessoalmente identificáveis ​​(PII) ou declarações fiscais de funcionários e executivos. Tais dados podem ser usados ​​para futuros ataques.

Como esses golpes não têm nenhum link ou anexo malicioso, eles podem escapar das soluções tradicionais. O treino e a consciencialização dos funcionários podem ajudar as empresas a identificar esse tipo de golpe.

Como recomendação, a título de prevenção, recomenda-se a utilização de palavras passe fortes (com letras maiúsculas, minúsculas, números e carateres especiais, nunca inferiores a 8 carateres) no email, assim como uma alteração da mesma de vez em quando.