De bibliotheek voor digitale criminaliteit

BEC fraude

Business E-mail Compromise is een vorm van cybercrime die enigszins lijkt op phishing en focust op e-mailcontact binnen bedrijven. Zoals veel succesvolle vormen van fraude, focust BEC-fraude zich op het manipuleren van natuurlijk menselijk gedrag. We noemen dit ook wel ‘social engineering’.

Criminelen spelen in op reacties die je als mens van nature hebt en buiten deze vervolgens uit. Hieronder beschrijven we twee populaire Business E-mail Compromise-methodes.

CEO Fraude

Bij CEO-fraude doen internetcriminelen zich voor als de CEO van een bedrijf om op die manier betalingen af te dwingen. Er zijn twee manieren waarop dit wordt gedaan.

De eerste manier is het hacken van het e-mailadres van de CEO. Na een succesvolle hack monitoren de criminelen het gebruik van het account. Denk hierbij aan het taalgebruik van de CEO en de verzoeken die hij of zij naar specifieke medewerkers stuurt. Uiteindelijk sturen de criminelen vanuit de account van de CEO een e-mail naar medewerkers met een verzoek tot betaling. Het rekeningnummer waar dit bedrag naar moet worden overgeschreven, is van de hacker. Omdat de aanvaller de e-mailpatronen van de CEO heeft onderzocht, is het bericht bijna niet van echt te onderscheiden. Bovendien komt de e-mail van het daadwerkelijke account van de CEO, waardoor de kans ontzettend groot is dat medewerkers het geloven en het geld overmaken.

Een gelijksoortige techniek is het spoofen van een e-mailadres. Dit betekent dat de aanvallers een e-mailadres gebruiken dat sterk lijkt op het e-mailadres van de CEO. Dit is simpeler voor de criminelen, maar vaak minder succesvol, omdat oplettende medewerkers de fraude sneller kunnen detecteren. In plaats van manager@jouwbedrijfsnaam.nl gebruiken ze bijvoorbeeld manager@jouwbedrijfsnaams.nl. Hierdoor valt het neppe adres tijdens een snelle check niet op. Als ze dan ook dezelfde taal gebruiken als de CEO, wordt de e-mail vaak behandeld alsof het van de CEO komt. Opnieuw wordt er een verzoek tot betaling naar het rekeningnummer van de aanvaller gedaan.

Ondanks de naam CEO-fraude kan dit soort fraude natuurlijk ook voorkomen bij andere personen binnen het bedrijf. Zolang de persoon in kwestie maar iemand is met een hoge functie, zodat de medewerkers de e-mail niet in twijfel trekken en direct actie ondernemen. Lees hier meer over CEO fraude.

Nep facturen

Een andere veelgebruikte manier van Business E-mail Compromise-fraude is het sturen van nep facturen.

Hierbij gebruiken criminelen software om het gedrag van de financiële afdeling van een bedrijf te monitoren. Vervolgens sturen ze een factuur naar één van de medewerkers van die afdeling. Dit kan op dezelfde manieren als bij CEO-fraude, ze maken een nep e-mailadres aan of ze hacken het account van iemand die daadwerkelijk regelmatig facturen naar de financiële afdeling stuurt. Deze factuur kan in zijn geheel nep, of een aangepaste versie van een echte factuur zijn. In het tweede geval hoeven de aanvallers enkel de betaalinformatie aan te passen, zodat het bedrag naar hen wordt overgemaakt. Lees hier meer over Factuur fraude.

Uit onderzoek

Onderzoek van de FBI wijst uit dat er tussen 2013 en 2018 wereldwijd $12.5 miljard schade is geleden door BEC-fraude. Enkele voorbeelden en nieuws over CEO fraude: