sâmbătă, august 15

CEO Fraud – transfer bancar urgent la solicitarea sefului

Daca zilele trecute am scris despre primul virus ce are ca tinta clientii bancilor romanesti, TinBa v3, azi am gasit un articol recent, din 11 august 2015 care sustine ca mult mai periculosi decat virusii informatici sunt fraudele bazate pe inselatorii ce au la baza compromiterea emailului companiei.

Ce presupune efectiv acest tip de frauda?

Un angajat efectueaza o tranzactie in numele companiei ca urmare a unui solicitari false primite aparent de pe adresa de email a unui membru al top managementului. Solicitarea este una extrem de urgenta, fiind pentru diverse scopuri, cum ar fi evitarea de plata a unor penalitati sau pentru preluarea unei companiei.

Sunt folosite diverse metode tehice (cum ar fi email spoofing-ul sau spargerea contului de email) pentru a trimite email-uri ce par sa vina de pe o adresa de mail oficiala.

Acest tip de fraude se estimeaza de autoritatile americane ca ar urma sa produca pagube de peste 1 miliard de dolari inainte de sfarsitul acestui an.
Aceasta metoda a avut ca tinte si numeroase companii franceze, fiind numita fraude au president (CEO Fraud, in engeleza), fiind insa facuta nu doar prin email, ci si telefonic, modul de operare fiind acelasi. Companii prestigioase, precum Michelin, Vinci, Eurocopter, Virgin, Saint-Gobain, Nestlé au fost tintite, in cazul unora sumele vehiculate fiind de milioane de euro.

Astfel, toate protocoalele de securitate ale bancilor sunt respectate, intrucat chiar este o solicitare de transfer oficiala din partea bancii, solicitarea interna fiind cea frauduloasa. Antivirusii, programe anti-malware, toate sunt ineficiente atat timp cat un angajat credul este manipulat pentru a autoriza o tranzactie bancara.

Acest tip de frauda se bazeaza cateva aspecte:
1. culegerea de informatii despre companie si despre angajati, despre persoanele din management dar si despre angajatii din financiar: numere de telefon, adrese de mail, etc.
2. slaba securitate a conturilor de mail sau lipsa unor aplicatii care sa detecteze email-urile de tip spoof.
3. firea unama, in sensul comformismului atunci cand vine o solicitare din partea unei persoane de pe o pozitie superioara.

Aceasta este o frauda din categoria social engineering, subiect pe care il vom trata in articole viitoare. In ceea ce priveste protejarea impotriva fraudelor de tip-ul social engineering, aceastea pot fi evitate doar prin educarea angajatilor, prin consitentizarea in randul acestora a riscurilor de frauda si pe importanta respectari procedurilor anti-frauda.

Bibliografie:
eversheds.com
bankinfosecurity.com

Niciun comentariu:

Trimiteți un comentariu