Handen die mail geven aan laptop

Business E-mail Compromise (BEC): wat is het en wat doe je ertegen?

Laatst bijgewerkt: 21 maart 2019
Leestijd: 8 minuut, 24 seconden

Je verwacht misschien dat e-mail een uitstervend communicatiemiddel is nu we social media en WhatsApp hebben. Uit onderzoek van de Radicati Group blijkt echter dat e-mailgebruik nog altijd groeit. Zij voorspellen dat er in 2022 meer dan 333 miljard e-mails per dag zullen worden verstuurd. Hiermee blijft e-mail één van de meestgebruikte communicatiemiddelen ter wereld. Dit is ook zeker het geval binnen het bedrijfsleven, waar e-mail over het algemeen een centrale rol speelt. Juist vanwege die populariteit wordt e-mail ook veel gebruikt door internetcriminelen.

Mensen worden steeds slimmer en pikken phishing e-mails sneller op dan een paar jaar geleden. Helaas hebben criminelen niet stilgezeten: ze blijven nieuwe technieken ontwikkelen en vormen keer op keer een bedreiging voor het bedrijfsleven. De afgelopen jaren zien we dan ook steeds vaker Business E-mail Compromise, of BEC-fraude. In dit artikel duiken we dieper in de wereld van BEC-fraude. Wij leggen uit wat het is en hoe je je als bedrijf tegen deze e-mailfraude kunt beschermen.


Wat is BEC-fraude?

Business E-mail Compromise is een vorm van cybercrime die enigszins lijkt op phishing en focust op e-mailcontact binnen bedrijven. Zoals veel succesvolle vormen van fraude, focust BEC-fraude zich op het manipuleren van natuurlijk menselijk gedrag. We noemen dit ook wel ‘social engineering’. Criminelen spelen in op reacties die je als mens van nature hebt en buiten deze vervolgens uit. Hieronder beschrijven we twee populaire Business E-mail Compromise-methodes.

CEO-Fraude

CEO met snorBij CEO-fraude doen internetcriminelen zich voor als de CEO van een bedrijf om op die manier betalingen af te dwingen. Er zijn twee manieren waarop dit wordt gedaan. De eerste manier is het hacken van het e-mailadres van de CEO. Na een succesvolle hack monitoren de criminelen het gebruik van het account. Denk hierbij aan het taalgebruik van de CEO en de verzoeken die hij of zij naar specifieke medewerkers stuurt. Uiteindelijk sturen de criminelen vanuit de account van de CEO een e-mail naar medewerkers met een verzoek tot betaling. Het rekeningnummer waar dit bedrag naar moet worden overgeschreven, is van de hacker. Omdat de aanvaller de e-mailpatronen van de CEO heeft onderzocht, is het bericht bijna niet van echt te onderscheiden. Bovendien komt de e-mail van het daadwerkelijke account van de CEO, waardoor de kans ontzettend groot is dat medewerkers het geloven en het geld overmaken.

Een gelijksoortige techniek is het spoofen van een e-mailadres. Dit betekent dat de aanvallers een e-mailadres gebruiken dat sterk lijkt op het e-mailadres van de CEO. Dit is simpeler voor de criminelen, maar vaak minder succesvol, omdat oplettende medewerkers de fraude sneller kunnen detecteren. In plaats van manager@jouwbedrijfsnaam.nl gebruiken ze bijvoorbeeld manager@jouwbedrijfsnaams.nl. Hierdoor valt het neppe adres tijdens een snelle check niet op. Als ze dan ook dezelfde taal gebruiken als de CEO, wordt de e-mail vaak behandeld alsof het van de CEO komt. Opnieuw wordt er een verzoek tot betaling naar het rekeningnummer van de aanvaller gedaan.

Ondanks de naam CEO-fraude kan dit soort fraude natuurlijk ook voorkomen bij andere personen binnen het bedrijf. Zolang de persoon in kwestie maar iemand is met een hoge functie, zodat de medewerkers de e-mail niet in twijfel trekken en direct actie ondernemen.

Nepfacturen

Een andere veelgebruikte manier van Business E-mail Compromise-fraude is het sturen van nepfacturen. Hierbij gebruiken criminelen software om het gedrag van de financiële afdeling van een bedrijf te monitoren. Vervolgens sturen ze een factuur naar één van de medewerkers van die afdeling. Dit kan op dezelfde manieren als bij CEO-fraude: ze maken een nep e-mailadres aan of ze hacken het account van iemand die daadwerkelijk regelmatig facturen naar de financiële afdeling stuurt. Deze factuur kan in zijn geheel nep, of een aangepaste versie van een echte factuur zijn. In het tweede geval hoeven de aanvallers enkel de betaalinformatie aan te passen, zodat het bedrag naar hen wordt overgemaakt.


Voorbeelden van BEC-fraude

Onderzoek van de FBI wijst uit dat er tussen 2013 en 2018 wereldwijd $12.5 miljard schade is geleden door BEC-fraude. Hieronder volgen een aantal voorbeelden van bedrijven die slachtoffer zijn geworden van Business E-mail Compromise fraude.

Het Oostenrijkse bedrijf FACC Operations, dat vliegtuigonderdelen maakt, verloor €42 miljoen door BEC-fraude. In dit geval deden internetcriminelen zich voor als de CEO Walter Stephan. In de e-mails werd medewerkers gevraagd urgente betalingen te doen. Deze betalingen gingen (natuurlijk) direct naar de internetcriminelen. De CEO werd ontslagen, evenals het hoofd van de financiële afdeling van het bedrijf. Dit is een voorbeeld van CEO-fraude.

Ook speelgoedfabrikant Mattel is slachtoffer geworden van BEC-fraude. Zij maakten $3 miljoen over naar internetcriminelen in China omdat de financiële afdeling een realistische, maar neppe, factuur had ontvangen. Uiteindelijk was het bedrijf in staat al zijn geld terug te krijgen, omdat de Chinese bank in kwestie melding maakte. Dit is een voorbeeld van BEC-fraude door middel van het versturen van nepfacturen.

Zoals je ziet, kunnen bedrijven flinke schade oplopen door BEC-fraude. Gelukkig zijn er manieren om je bedrijf hiertegen te wapenen. Om dit effectief te doen, moeten we ons eerst afvragen hoe zo’n aanval precies in zijn werk gaat. Daarna kunnen we bepalen hoe je je hier het best tegen kunt beschermen.


Waarom Business E-mail Compromise werkt

Business E-mail Compromise is voor internetcriminelen een succesvolle manier van fraude omdat het inspeelt op menselijk gedrag. Ze gebruiken psychologische trucjes om jou precies te laten doen wat ze willen. Een succesvolle BEC-aanval heeft een aantal kenmerken:

Observatie

Laptop met oog

Observatie is een belangrijke eerste stap voor iedere cybercrimineel die BEC-fraude wil plegen. Aanvallers bestuderen hoe mensen binnen het bedrijf met elkaar communiceren en wat voor soort taal hierbij wordt gebruikt. Deze informatie gebruiken ze bij het schrijven van hun eigen e-mails. Op deze manier worden hun frauduleuze berichten minder snel opgemerkt en is de kans groter dat de aanval uiteindelijk zal slagen. Een internetcrimineel zal dus na een succesvolle hack eerst een tijdje met de eigenaar meekijken voor hij overgaat tot actie.

Misbruik van vertrouwen

BEC-fraude is geheel afhankelijk van het vertrouwen dat wij in onze leidinggevenden hebben. Als jouw baas je opdraagt een urgente betaling te doen, doe je dat vaak zonder al te veel vragen te stellen. Hoe vaker je contact hebt met deze persoon of hoe hoger zijn of haar positie, hoe sneller je deze verzoeken meteen uitvoeren. Dit gedrag misbruiken criminelen maar al te graag om jou zo geld over te laten maken naar hun bankrekening.

Urgentie

De meeste werknemers willen vooral hun werk goed doen. Daarom is het creëren van een gevoel van urgentie één van de belangrijkste onderdelen van een succesvolle Business E-mail Compromise-zaak. Veel werknemers geven snel gehoor aan urgente verzoeken vanuit hun management. Dit is zeker het geval wanneer de e-mail teksten bevat zoals “we moeten deze betaling vóór het begin van de middag doen, anders verliezen we de deal”. Jij wil als werknemer natuurlijk niet verantwoordelijk zijn voor het verliezen van een belangrijke klant. Door die extreme urgentie zijn medewerkers minder kritisch en ontdekken ze de nepmail minder snel. Ze betalen de factuur zo snel mogelijk en geven de criminelen precies wat ze willen: geld.


Jezelf beschermen tegen BEC-fraude

Net als bij andere vormen van cybercriminaliteit, zijn er ook bij BEC-fraude manieren om jezelf te beschermen. Hieronder vind je ons vierstappenplan om jouw bedrijf beter te wapenen tegen Business E-mail Compromise.

1. Zorg dat mensen van het bestaan afweten

Zorg ervoor dat iedereen in het bedrijf weet van het bestaan van Business E-mail Compromise. Hierdoor zijn medewerkers scherper en wordt een urgent betalingsverzoek beter gecheckt dan wanneer iemand niet weet dat er mogelijk gevaar dreigt. Zorg er ook voor dat je bedrijfsprocessen zó zijn ingericht dat fraude minder kans van slagen heeft. Verplicht je werknemers bijvoorbeeld om bij een grote betaling een telefonische check bij de opdrachtgever van de betaling te doen.

2. Gebruik sterkere e-mail authenticatie

Twee-Staps-VerificiatieVeel BEC-fraude wordt gedaan door middel van spoofing. Toch is het aan te raden om twee-staps-verificatie in je e-mailaccounts te bouwen. Zo bescherm je je eigen e-mailaccount beter tegen mogelijke indringers en hackers. Bij twee-staps-verificatie moeten mensen naast een wachtwoord ook hun identiteit bevestigen door middel van een sms of een code in een app. Dit weerhoudt vreemden er in veel gevallen van op jouw account in te breken. Er hangen wel wat veiligheidsrisico’s aan het verifiëren via sms, dus verifiëren met een app is op dit moment de veiligste vorm van twee-staps-verificatie.

3. Domeinbeheer

Waar twee-staps-verificatie helpt om hackers uit je e-mail te houden, helpt domeinbeheer om spoofing te voorkomen. Veel criminelen gebruiken e-mailadressen die sterk op dat van jou lijken, door jouw domein bijvoorbeeld net iets aan te passen. Daarom is het belangrijk dat je naast je eigen domein ook domeinen die daar sterk op lijken in bezit hebt. Zo kunnen criminelen minder snel een sterk lijkend e-mailadres creëren en wordt het voor jou en je werknemers gemakkelijker om neppe e-mails op te merken.

4. Volg veiligheidsprotocollen op

Een goed veiligheidsprotocol zorgt ervoor dat er niet snel gaten in de verdediging van jouw bedrijf vallen. Houd hackers buiten de deur door een veiligheidsprotocol op te stellen en deze ook te volgen. Dit houdt o.a. in dat je mensen onderwijst op het gebied van spoofing e-mails, maar ook dat je gebruikmaakt van firewalls en antivirussoftware. Er zijn veel verschillende programma’s die je software tegen mogelijke aanvallen beschermen. Update je systemen bovendien regelmatig zodat je de meest recente bescherming hebt.


Business E-mail Compromise in een notendop

Wat een Business E-mail Compromise-aanval zo succesvol maakt, is dat het ons eigen gedrag bestudeerd en tegen ons gebruikt. In sommige gevallen wordt er daadwerkelijk een e-mailaccount van een hooggeplaatste medewerker gehackt. Veel vaker wordt er gebruikgemaakt van een account dat sterk lijkt op dat van een betrouwbare medewerker of betrouwbaar bedrijf. Dit, in combinatie met een gevoel van urgentie, zorgt ervoor dat betalingen zonder al te veel vragen worden gedaan. BEC-fraude kan een bedrijf een hoop geld kosten. Het is daarom belangrijk om alle medewerkers goed te informeren en je bedrijf te beschermen tegen deze manier van fraude. Gebruik twee-staps-verificatie voor je e-mail, zorg ervoor dat je verschillende domeinen in je beheer hebt en stel een goed veiligheidsprotocol op. Zo is jouw bedrijf beter bestand tegen een BEC-aanval.

Hoofdauteur:

Meer artikelen uit het ‘Zakelijk’ dossier

Reacties
Plaats een reactie
Een reactie plaatsen

Op zoek naar een VPN?

Bekijk ons overzicht met de meest betrouwbare, snelle en veilige VPN-services.
Uitgebreid getest door experts.

Bekijk welke VPN het beste bij je past