CEO fraude

CEO fraude, ook wel whaling genoemd, is naast ransomware een veelbesproken onderwerp. Dit komt mede doordat veel organisaties hun medewerkers verplicht thuis moeten laten werken als gevolg van de Corona pandemie. Er wordt door veel organisaties vooral gekeken naar de continuïteit van dienstverlening en het gebruikersgemak voor medewerkers om toegang te houden tot systemen. Dit heeft tot gevolg dat bepaalde ‘checks & balances’ (onbedoeld) niet meer van toepassing zijn of systemen kwetsbaar worden, waardoor cybercriminelen gemakkelijker in bepaalde bedrijfsprocessen kunnen infiltreren.

In het kort is CEO fraude een vorm van fraude waarbij een medewerker van het bedrijf een e-mail denkt te krijgen van een directielid die vraagt om een betaling te voldoen of over te maken. Uiteraard betreft dit niet het echte directielid en wordt de betaling gedaan aan een zogenaamde katvanger of een rekening onder invloed/beheer van de cybercriminelen, waarna het bedrag wordt doorgesluisd naar andere rekeningen.

Ondanks de aandacht die deze vorm van cybercrime de afgelopen jaren heeft gekregen, blijft het nog steeds een groot probleem, mede omdat het blijft evolueren. Immers, de spelfouten in de mails worden minder of zijn zelfs afwezig en de lay-out van een e-mail/factuur is geloofwaardiger, omdat men templates gebruikt van e-mails of facturen die online zijn gevonden. Ook de social engineering is slinkser door de vele gegevens die van bedrijven of medewerkers online te vinden zijn.

Daar de Corona pandemie nog niet achter ons ligt en thuiswerken de nieuwe norm is geworden is de verwachting dat in 2022 deze lucratieve vorm van Business Email Compromise door cybercriminelen veelvuldig benut zal worden om hun doelstellingen te bereiken.

Naast het signaleren van een frauduleuze mail door middel van bepaalde kenmerken, is het bespreekbaar maken van de bedrijfscultuur en het continu verbeteren van de vastgelegde bedrijfsprocessen ook erg belangrijk.

Bedrijfscultuur
Een van de belangrijkste redenen waardoor CEO fraude voor cybercriminelen succesvol is, is doordat er gebruik wordt gemaakt van de menselijke factor. Er wordt namens een hooggeplaatst persoon een verzoek verstuurd, maar ook het slachtoffer aan wie het verzoek wordt verstuurd, wordt bewust uitgekozen door cybercriminelen. Hierbij wordt gelet op betalingsbevoegdheid en bijvoorbeeld de periode dat iemand werkzaam is voor de organisatie. In een hiërarchische organisatie wordt het vaak te spannend gevonden om iemand met een hogere functietegen te spreken, waardoor de kans van slagen groter is.

In de Corona pandemie zijn er mensen begonnen aan een nieuwe functie, zonder een deel van de collega’s persoonlijk ontmoet te hebben (door het thuiswerken). Dit zorgt ervoor dat meldingen/signaleringen uitblijven, omdat men niet de juiste procedure kent, er minder gemakkelijk om hulp wordt gevraagd of men bij afwezigheid van een collega hem/haar niet wil storen.

Het is belangrijk om een bedrijfscultuur te creëren waarin medewerkers zich veilig genoeg voelen om mogelijke frauduleuze e-mails te kunnen melden. Maak het onderwerp bespreekbaar door uit te leggen wat de procedure is voor betalingen, wat er bij twijfel gedaan dient te worden en met wie er contact opgenomen kan worden (interne communicatie). Een optie daarbij is om medewerkers te belonen wanneer zij dergelijke mails gesignaleerd en gemeld hebben. Het kost immers een stuk minder geld om een medewerker een bos bloemen te geven, dan wanneer er geld wordt overgemaakt naar een rekening van cybercriminelen. Uiteraard is het dan ook van belang dat de medewerkers de ‘tools’ in handen krijgen om dit te signaleren, bijvoorbeeld door middel van een awareness training.

Bedrijfsprocessen
Naast het creëren van awareness kunnen duidelijke bedrijfsprocessen ook helpen met het wegnemen van de onzekerheid of de angst om hulp te vragen. Zo kan vastgelegd worden dat:

• aanvragen voor betalingen of wijzingen van rekeningnummers niet alleen via de mail, maar ook via een andere weg geverifieerd moeten worden.
• er duidelijke richtlijnen zijn rondom facturatie. Wie is er bevoegd om de factuur goed te keuren, welke rekeningnummers worden er gebruikt etc.
• gebruik gemaakt wordt van het vier ogen principe. Hierbij moeten verzoeken voor het overmaken van geldbedragen altijd gecontroleerd worden door twee verschillende personen binnen de organisatie.
• er een afdeling is waarmee contact kan worden gelegd om een mail te controleren.

Daarnaast kan het nemen van technische maatregelen voorkomen dat medewerkers in aanraking komen met frauduleuze mails. Denk hierbij onder meer aan het op een juiste manier configureren van een mailserver of mail service, maar ook het toepassen van VPN en/of MFA indien men vanuit thuis toegang dient te hebben tot e-mail en/of betalingssystemen.

Voor alle benoemde bedrijfsprocessen geldt overigens dat deze regelmatig tegen het licht moeten worden gehouden (Plan, Do, Check, Act).  Zeker in de nog steeds voortdurende transitie van onpremise naar remote werken is het van belang dat vastgestelde bedrijfsprocessen realistisch en realiseerbaar zijn en blijven.

DataExpert helpt
Zoals eerder in het artikel benoemd is een belangrijke stap in bestrijden van CEO fraude het bewust maken van medewerkers. DataExpert biedt een workshop Cybercrime en Cyber Security Awareness aan waarbij verschillende groepen medewerkers bewust gemaakt worden van cybercrime en hoe te handelen. Meer informatie hierover? Klik hier.