Dreister BEC-Betrug: Schaden von 170.000 US-Dollar

Zwei Verteidigungsunternehmen und eine Universität in den USA betroffen

[datensicherheit.de, 25.03.2019] Detlev Weise, „Managing Director“ bei KnowBe4, geht in seinem aktuellen Kommentar auf einen Vorfall infolge einer sogenannten Business-E-Mail-Compromise (BEC) ein. Laut der News-Website „CyberScoop“ sollen zwei Rüstungsunternehmen und eine Universität im Jahr 2018 etwa 170.000 US-Dollar durch BEC verloren haben. Die Betrüger haben sich demnach als Mitarbeiter in den Unternehmen ausgegeben, indem sie E-Mail-Adressen fälschten, und dann gefälschte Kreditlinien nutzten, um teure Einkäufe zu tätigen.

Besonders gezielter E-Mail-Betrug

Im Gegensatz zu Massen-Phishing-Angriffen ist BEC laut Weise eine Form „besonders gezielten E-Mail-Betrugs“, der Mitarbeiter in den Unternehmen nachahmt.
Ziel sei es, betrügerische Überweisungen zu erbitten und Unternehmensdaten, Anmeldedaten und andere vertrauliche Daten zu stehlen. „Da sie selten schädliche Links oder Anhänge enthalten, sind BEC-Scams extrem schwer zu verhindern“, warnt Weise.

In den letzten Jahren immer wieder betrügerische Profite erzielt

In einem Fall habe sich ein Betrüger als Universitätsmitarbeiter ausgegeben und 150 elektronische Messinstrumente bei einem US-Verteidigungsunternehmen bestellt, wodurch insgesamt 80.000 US-Dollar gestohlen worden seien. Zwei ähnliche Vorfälle hätten zu einem weiteren Verlust von 90.000 US-Dollar bei einem Verteidigungsunternehmen geführt.
Cyber-Kriminelle hätten mit BEC in den letzten Jahren immer wieder Profite erzielen können. Eine in London ansässige kriminelle Gruppe habe laut dem E-Mail-Sicherheitsunternehmen Agari eine Liste von mehr als 50.000 Unternehmensmitarbeitern, darunter die der weltweit größten Banken, zusammengestellt, um im großen Stil Geld zu entwenden.

Manchmal hilft ein Telefonanruf bei der Betrugsaufdeckung…

Das FBI habe den Vorfall damit kommentiert, dass diese Betrügereien hätten verhindert werden können – die betroffenen Rüstungsfirmen hätten Schritte unternehmen müssen, um zu bestätigen, dass die Käufe fingiert waren.
In vielen Fällen könne ein einfacher telefonischer Anruf bei dem Geschäftspartner einen betrügerischen E-Mail-Austausch aufdecken. Das „New School-Security Awareness Training“ könne Mitarbeitern beibringen, allen Transaktionsanforderungen zu misstrauen, bis sie sich ihrer Legitimität absolut sicher sind, empfiehlt Weise.

Foto: KnowBe4

Detlev Weise: Mitarbeitern beibringen, allen Transaktionsanforderungen zu misstrauen, bis deren Legitimität absolut sicher ist!

Weitere Informationen zum Thema:

datensicherheit.de, 20.12.2018
Spear Phishing: Hilfsorganisation verlor eine Million US-Dollar

datensicherheit.de, 06.12.2018
Quora: 100 Millionen Nutzer von Hacker-Angriff betroffen