La Business Email Compromise (BEC) è un tipo di truffa basata sull’inganno con cui si induce un manager o un dipendente di un’azienda a fare un bonifico verso un conto corrente. Questa truffa è conosciuta come “truffa del CEO”.
La truffa consiste in una falsa mail proveniente dell’account di posta elettronica di una figura ai vertici dell’azienda (l’AD o il CEO). Nella mail si richiede di effettuare urgentemente un bonifico a un determinato destinatario o si spinge la vittima a divulgare informazioni aziendali/personali riservate, il tutto in via strettamente confidenziale.
È una truffa non dissimile dal phishing ma, mentre quest’ultime possono essere facilmente individuate a causa dei filtri phishing, gli schemi BEC si basano sull’attività umana. Secondo l’Internet Crime Complaint Center, gli schemi BEC hanno provocato oltre 1,7 miliardi di dollari di perdite in tutto il mondo nel 2019.
Col passare del tempo, gli hacker escogitano schemi sempre più elaborati per indurre le persone a fornire dati sensibili e BEC ne è un classico esempio.
Di seguito 7 modi per proteggere la propria azienda dagli attacchi BEC.
7 modi per proteggersi dagli attacchi BEC
Monitorare il comportamento anomalo
Assicurarsi che i membri del team remoto accedano in modo sicuro ai dati sensibili dei clienti e agli account aziendali. L’aumento del lavoro a distanza significa che le aziende si affidano a servizi basati su cloud come Microsoft Office, Dropbox e altre applicazioni di condivisione di documenti. È dunque fondamentale assicurarsi che non ci siano accessi fuori ufficio a queste app.
Fare attenzione alle modifiche improvvise dell’account e-mail
Verificare sempre un indirizzo e-mail con il nome del dominio. Il processo di migrazione quando si cambia il dominio di un’azienda e la piattaforma di posta elettronica può lasciare il server di posta aperto a violazioni. Se si nota che il dominio di un’e-mail è cambiato, è bene richiedere la verifica specie se si riceve un’e-mail da un fornitore o da un collega su una questione finanziaria.
Controllare gli indirizzi e-mail anche per minime discrepanze
Anche le più piccole differenze negli indirizzi e-mail possono comportare un disastro per un’azienda. Un trucco comune utilizzato dagli hacker consiste nel modificare leggermente gli indirizzi e-mail per farli sembrare ancora legittimi. Il solito colpevole è la lettera maiuscola “I” che viene sostituita con una “L” minuscola, facendole sembrare simili.
Abilitare l’autenticazione a più fattori (MFA) per gli account di posta elettronica
L’autenticazione a più fattori garantisce che, anche se un hacker ha accesso alle credenziali di posta elettronica, avrà comunque bisogno di accedere a un’app di autenticazione (di solito su un dispositivo mobile). Questo aggiunge un ulteriore livello di sicurezza. È consigliabile abilitare l’autenticazione a più fattori per gli account di posta elettronica dell’azienda.
Aggiungere un banner ai messaggi provenienti o inviati dai membri del team dell’organizzazione
Il banner dovrebbe avvisare gli utenti se un indirizzo e-mail proviene da qualcuno al di fuori dell’organizzazione. Un banner e-mail funge da prima bandiera rossa per eventuali indirizzi sospetti o sconosciuti.
Attivare le funzionalità antivirus che bloccano e-mail dannose
Verificare che le funzioni antivirus siano attive per tutti i dispositivi dell’azienda ma soprattutto che le funzionalità che bloccano e-mail sospette e di phishing siano abilitate. Alcuni non utilizzano il proprio programma antivirus se non per le scansioni antivirus.
Impostare un sistema in azienda per controllare le richieste di pagamento
Assicurarsi che le richieste di bonifico bancario siano convalidate impostando prima una procedura di conferma. Una buona regola quando si ricevono richieste di pagamento o bonifici bancari è quella di verificare con chi lo ha richiesto che si tratti di una richiesta legittima.
Conclusioni
La difesa più efficace contro questo genere di truffe è costituita da adeguate soluzioni di sicurezza a livello di rete, e-mail e dispositivo, affiancate da un’adeguata formazione del personale, ad esempio attraverso il corso di Cybersecurity Awareness.
I corsi hanno l’obiettivo di educare gli utenti ad un uso consapevole e responsabile dei sistemi informatici in generale ed insegna ai partecipanti a porre attenzione anche alle operazioni più comuni dall’apertura degli allegati di posta elettronica, alle policy di sicurezza, alla riservatezza delle proprie password.
È bene non sottovalutare mai le minacce informatiche ma soprattutto è importante non sopravvalutare la preparazione contro questi attacchi:
- siate sempre sospettosi
- se qualcosa vi sembra strano, probabilmente lo è
- rallentate!
