Fiti precauti la schimbarea subita a unor practici comerciale stabilite anterior cu partenerii comerciali, in special a conturilor de e-mail, a conturilor bancare si a valutelor in care se fac platile, precum si tarii in care sunt deschise conturile.

Verificati si telefonic la furnizor sau client, la un numar de telefon detinut anterior si verificat, daca modificarile solicitate prin e-mail sunt reale. Business E-mail Compromise Fraud „BEC Fraud” este definit ca o frauda complexa ce tinteste societatile comerciale ce lucreaza cu furnizori sau clienti straini (activitati de comert exterior) si efectueaza cu regularitate plati prin transfer bancar.

Din analiza cazurilor investigate, s-a constatat ca societatile comerciale ce desfasoara activitati comerciale din Romania (cu personalitate juridica romana)au avut calitatea de victima, in majoritatea cazurilor, in sensul ca au trimis bani in alte conturi decat cele legitime ale furnizorului extern.Din aceeasi analiza a rezultat ca,in aproape toate cazurile semnalate, compromiterea sistemelor informatice, respectiv a adresei de posta electronica, a avut loc la societatile comerciale straine care erau in relatii comerciale cu cele romane.

Majoritatea victimelor au raportat ca utilizeaza transferuri online ca metoda curenta de efectuare a platilor catre furnizori sau parteneri externi de afaceri, in baza unei relatii comerciale anterioare si a bunei credinte in practica comerciala. Societatile comerciale romane fraudate nu au un tipic anume de activitate, elementul comun fiind dat de faptul ca toate desfasoara activitati de comert exterior si efectueaza plati curente in strainatate.

Incepand cu anul 2016, la nivelul Politiei Romane au fost inregistrate peste 150 de sesizari oficiale referitoare la acest tip de frauda. La nivel global emergenta acestui tip de frauda a generat pierderi documentate de peste 6 miliarde de dolari,in perioada 2016-2017,inregistrate in peste 40.000 de incidente de acest tip.

Frauda are trei componente principale:

• Componenta de Social Engineering – prin care se strang date istorice online, referitoare la societatile tintite (sediu social, persoane din management, CUI, cont bancar, adrese de posta electronica, portofoliu de clienti, eventuale documente accesibile online ce prezinta elemente de identificare ale societatii comerciale ce pot fi utilizate pentru a crea aparenta de legitimitate).
• Componenta de intruziune/compromitere a adresei de posta electronica.(EAC – Email Account Compromise.)
• Deschiderea unui cont cu acte false in strainatate, pe numele furnizorului sau clientului strain.

Schema infracţionala presupune accesarea in mod neautorizat a conturilor de e-mail ale unor societaţi comerciale din strainatate, monitorizarea corespondenţei purtate de catre angajaţii respectivei societaţi şi simularea corespondenţei reale cu societatea partenera din Romania, prin intermediul unei adrese de e-mail asemanatoare sau identice. Aceasta activitate are de regula ca finalitate deturnarea transferului de bani catre un cont bancar diferit faţa de cel al beneficiarului legitim, acest cont bancar fiind controlat de catre alţi membri ai gruparii infracţionale.

Elemente generale de protectie din zona guvernantei corporative :

• Societatile comerciale care constientizeazasiinteleg existenta acestui tip de frauda prezinta un risc mult mai scazut de a cadea victimasi pot recunoaste mai usor tentativele de acest gen, astfel probabilitatea efectuarii unor transferuri eronate scazand substantial.
• Instruirea personalului referitor la tipologia de frauda.
• Societatile comerciale care beneficiaza de un sistem de securitate online solid (mai ales pentru sistemele informatice utilizate de personalul „front line”) prezinta un risc mult mai scazut de a cadea victima incidentelor de tip EAC.
• Implementarea de masuri IT si politici de securitate.
• Atentie sporita la publicarea in mediul online, in special in zona social media si pe site-ul companiei, a informatiilor detaliate privind ierarhia persoanelor ce activeaza in cadrul companiei, a indatoririlor acestora sau a detaliilor de tip out of office, precum si a conturilor bancare si a detaliilor complete si mijloacelor de comunicatie utilizate.
• Strategii de protectie impotriva EAC/BEC:
• Evitati utilizarea conturilor de e-mail web-based (yahoo, hotmail, gmail etc) pentru activitatea societatii comerciale. Recomandabila este utilizarea unor conturi de e-mail dintr-un domeniu propriu.
• Fiti suspiciosi cu privire la mesajele in care se solicita efectuarea unor operatiuni in secret sau a unor operatiuni rapide catre destinatari incerti sau neverificati.
• Aveti in vedere crearea unor proceduri minimale de audit IT si de securitate referitoare la plati, in sensul implementarii unei verificari in minim doi pasi:

Exemple:

1. Stabiliti o comunicare alternativa, cum ar fi cea telefonica cu furnizorul sau clientul strain pentru a valida orice schimbare a practicii comerciale statuate, pentru a elimina posibilitatea hakerului de a intercepta o eventuala comunicatie.

2.Utilizarea de semnaturi digitale sau a criptarii mesajelor intre partile implicate in activitatea comerciala.

3.Raportarea si nedeschiderea mesajelor nesolicitate sau de tip SPAM, acestea putand contine malware.

4. Nu utilizati functia „Reply” pentru a raspunde in corespondenta de serviciu. Folositi functia „Forward” si scrieti manual sau selectati din agenda adresa de e-mail unde doriti sa transmiteti mesajul.

Recomandare generala de preventie:

• Fiti precauti la schimbarea subita a unor practici comerciale stabilite anterior, in special a conturilor de e-mail sau conturilor bancare si a valutelor in care se fac platile, precum si tarii in care sunt deschise conturile.
• Verificati si telefonic la furnizor sau client, la un numar de telefon detinut anterior si verificat, daca modificarile solicitate prin e-mail sunt reale.

Sursa: politiaromana.ro

E.S.