La città di Peterborourgh nel New Hampshire ha dichiarato di aver perso $ 2,3 milioni dopo che i truffatori hanno ingannato i dipendenti della città facendoli inviare ingenti pagamenti ai conti sbagliati.

Le indagini hanno rivelato che i malfattori hanno utilizzato mail contraffate e documenti falsi per deviare i pagamenti a conti sotto il loro controllo.

Durante le indagini le autorità hanno scoperto che anche altri pagamenti sono stati intercettati, dovevano essere inviati a due appaltatori con il compito di costruire un ponte in città.

I servizi segreti americani, che sono stati contattati per indagare sull’incidente, hanno comunicato agli ufficiali di Peterborourgh che i fondi rubati sono stati lavati e convertiti in criptovaluta.

I dipendenti caduti vittima dell’inganno sono stati temporaneamente congedati, ma si dichiarano estranei ai fatti. I fondi persi probabilmente non verranno coperti dalle assicurazioni.

Quei 2,3 milioni ammontano a circa il 15% del budget annuale della piccola cittadina. Questo tipo di raggiro è chiamato truffa BEC e secondo l’FBI è costato alle aziende 1.8 miliardi nel 2020.

Truffa BEC

La Business mail Compromise (compromissione di mail aziendali) è un sofisticato tipo di truffa rivolta alle aziende che effettuano bonifici bancari e hanno fornitori all’estero. E-mail aziendali di dirigenti, o dipendenti in alto nella catena di comando, o che comunque svolgono attività finanziaria, come l’invio di bonifici, vengono impersonati o compromessi con keylogger o phishing per eseguire trasferimenti di denaro fraudolenti.

Una volta veniva chiamata truffa Man-in-the-E-mail, si basa principalmente in tecniche di social engineering. Spesso vengono impersonati dirigenti o CEO dopo essere stati osservati attentamente dagli attaccanti. Gli oggetti delle mail in questione spesso contengono le parole: pagamento, richiesta oppure urgente.

Le truffe BEC spesso cominciano con la compromissione di un account di posta elettronica di un dipendente, utilizzando il phishing e domini molto simili ad aziende reali, oppure un keylogger iniziando fasi di monitoraggio atti a capire chi si occupa di inviare o ricevere denaro all’interno dell’azienda. Altre situazioni di interesse possono riguardare viaggi di lavoro dei dirigenti, cambiamenti nella c-suite (ossia quei dipendenti che hanno il titolo con la C iniziale CEO, COO, CTO, CIO) e via discorrendo...

Sulla base della descrizione fornita dall’FBI possiamo definire 5 tipi di truffe BEC:

Fatture false: le aziende, spesso con fornitori stranieri, ricevono mail con richieste di pagamento per fatture inesistenti verso conti che loro controllano

Impersonazione del CEO: gli attaccanti fingono di essere il direttore esecutivo o altro manager di alto rango, e richiedono trasferimenti di denaro con una finestra temporale ridotta. Le richieste consistono nel contattare direttamente l’ufficio che si occupa delle finanze richiedendo che dei fondi vengano traferiti di fretta verso un conto bancario.

Compromissione della mail: un account e-mail viene hackerato e utilizzato per richiedere pagamenti verso conti fraudolenti ai contatti che appaiono nelle mail.

Impersonazione dell’avvocato: gli attaccanti fingono di essere avvocati incaricati di occuparsi di questioni confidenziali, normalmente questo tipo di attacchi avviene tramite telefono o mail alla fine della giornata lavorativa parlando direttamente con CEO o altro manager.

Furto di dati: questa volta non vengono richiesti soldi ma vengono contattati dipendenti che si occupano di risorse umane; vengono contattati con l‘intendo di recuperare informazioni personali o situazioni tributarie utili per attacchi successivi in modo da essere più credibili e aumentare le possibilità di successo della truffa.

Alcuni modi per mitigare il danno consistono nel verificare sempre la liceità delle fatture in caso di cambio dell’indirizzo di pagamento, verificare con accuratezza tutte le lettere della C-suite che invitano a muoversi con urgenza ed utilizzare per quanto possibile contatti già noti con l’azienda partner.

Siccome questo tipo di frode non consiste in un invio massivo di spam e non contiene malware, non esistono strumenti automatici capaci di difenderci, la strategia è totalmente basata sulla formazione e l’attenzione del personale che di solito è l’anello debole della sicurezza aziendale, per questo vi consigliamo di dare un’occhiata alla pagina riguardante l’awareness

Tweet