Vd-bedrägeri och Business Email Compromise, förklarat

Några av de dyraste bedrägerierna innehåller varken virus eller intrång. De bygger på ett enkelt knep: att övertyga en medarbetare om att en brådskande begäran kommer från en betrodd chef eller leverantör. Det kallas vd-bedrägeri, eller mer allmänt Business Email Compromise (BEC).

Vad är vd-bedrägeri och BEC?

Business Email Compromise är ett bedrägeri där en brottsling utger sig för att vara någon ert företag litar på — en chef, en leverantör, en jurist eller en kollega — för att förmå en medarbetare att föra över pengar eller lämna ut känsliga uppgifter.

Vd-bedrägeri är den mest kända varianten. Bedragaren utger sig för att vara vd:n eller en annan ledningsperson och ber en anställd — ofta inom ekonomi eller HR — att göra en brådskande betalning eller skicka konfidentiella uppgifter.

Till skillnad från massnätfiske är dessa angrepp riktade och personliga. Det finns oftast varken farlig länk eller bilaga, och just därför slinker de förbi skräppostfiltren och överrumplar människor.

Så brukar bedrägeriet gå till

Brottslingarna gör ofta läxan först och läser offentlig information från er webbplats, era sociala medier och pressmeddelanden för att låta trovärdiga. Ett typiskt angrepp ser ut så här:

• Ett mejl kommer som ser ut att vara från vd:n, med hens namn och skrivsätt.
• Det andas brådska och sekretess: ”Jag sitter i möte, det här måste skötas snabbt och diskret.”
• Begäran gäller att föra över pengar, ändra en leverantörs bankuppgifter eller skicka dokument, till exempel löneunderlag.
• Uppföljande meddelanden lägger ett mjukt tryck så att medarbetaren inte hinner stanna upp och kontrollera.

Pressen att göra en chef nöjd, i kombination med en kort deadline, är det som gör bedrägeriet så effektivt.

Vanliga varianter

• Falsk faktura — en leverantörs adress förfalskas för att begära betalning till ett nytt konto.
• Omdirigerad lön — ett meddelande utger sig för att vara en anställd som vill ändra sitt lönekonto.
• Presentkortsbedrägeri — en ”chef” ber personalen köpa presentkort och skicka koderna.

Varningssignaler

De flesta av dessa angrepp går att fånga genom att stanna upp vid några detaljer:

• En förändrad ton, ovanliga formuleringar eller en aning avvikande e-postadress.
• En begäran som går förbi normala rutiner — ”bara den här gången, hoppa över den vanliga attesten”.
• Press att agera snabbt och tyst, med uppmaning att inte stämma av med någon.
• Varje ändring av bankkonto eller betalningsuppgifter, särskilt i sista stund.
• En svarsadress som inte riktigt stämmer med avsändaren.

Enkla vanor som stoppar det

Teknik hjälper, men goda vanor är ert starkaste försvar:

• Verifiera i en annan kanal. Bekräfta varje betalning eller ändring av bankuppgifter per telefon eller personligen med ett känt nummer — aldrig genom att svara på mejlet.
• Tillämpa dubbel attest. Kräv att en andra person godkänner betalningar över ett bestämt belopp.
• Sakta ner vid brådska. Behandla ”brådskande och konfidentiellt” som ett skäl att kontrollera, inte att skynda.
• Bekräfta ändrade bankuppgifter med leverantören via en etablerad kontakt.
• Gör det tryggt att fråga. Medarbetare ska våga ifrågasätta en begäran, även en som verkar komma uppifrån.

Om något känns fel

Lita på magkänslan. Det är fullt acceptabelt att pausa en betalning och bekräfta innan man agerar. Misstänker ni bedrägeri, kontakta ekonomi- och it-avdelningen omedelbart — och har pengar redan skickats, larma banken direkt: snabbt agerande kan ibland få tillbaka beloppen.

Så hjälper GottaPhish

Vd-bedrägeri och BEC bygger på brådska och identitetsimitation för att få medarbetare att godkänna betalningar innan de verifierar — och det är precis där GottaPhish och vårt expertteam kommer in. Våra realistiska simuleringar återskapar de brådske- och imitationsknep brottslingar faktiskt använder, så att medarbetarna lär sig pausa och kontrollera innan de agerar, med stöd av praktisk utbildning och instrumentpaneler som visar var organisationen är mest utsatt. Vårt support- och expertteam arbetar nära er med att utforma trovärdiga scenarier, sätta upp kampanjer och tolka resultaten, och gör en kostsam blind fläck till ett tryggt och väl förberett team.