Não seja vítima de golpes altamente sofisticados de e-mail comercial

Os cibercriminosos de hoje não se contentam mais com phishing - enviando e-mails que parecem ser de uma organização respeitável, mas contêm um link para um site falso (onde você pode ser solicitado a inserir informações pessoais ou baixar malware). Em vez disso, eles estão intensificando seu jogo com o compromisso de e-mail comercial (BEC).

De acordo com o FBI, BEC ocorre quando os criminosos usam o e-mail para abusar da confiança nos processos de negócios, roubando dinheiro ou mercadorias de organizações. Esse tipo de fraude é diferente dos golpes de phishing tradicionais, pois os criminosos se fazem passar por representantes comerciais usando nomes, domínios ou logotipos fraudulentos semelhantes. Eles podem até usar contas de e-mail comprometidas de funcionários internos e fingir ser um colega de trabalho confiável.

Golpes comuns associados ao comprometimento do e-mail comercial incluem:

· Fraude de fatura: os criminosos comprometem a conta de e-mail de um fornecedor e se ajudam a legitimar faturas. Os criminosos então editam os dados bancários e de contato nessas faturas e os enviam aos clientes com a conta de e-mail comprometida. O cliente paga a fatura pensando que está pagando ao fornecedor.

· Roubo de identidade de funcionário: os criminosos comprometem uma conta de e-mail de trabalho e se fazem passar por um colega de trabalho por e-mail.

· Falsificação de identidade da empresa: os criminosos registram um domínio com um nome muito semelhante ao de uma organização conhecida e confiável.

SITUAÇÕES LEGÍTIMAS USADAS COMO ISCA

As pequenas empresas estão sendo prejudicadas financeiramente por esses tipos de golpes. No início de 2021, o Gabinete do Procurador dos Estados Unidos para o Distrito de Massachusetts emitiu um alerta para pequenas empresas que receberam empréstimos através do Programa de Proteção ao Cheque de Pagamento (PPP), observando um aumento dramático nos relatórios de esquemas de BEC relacionados ao programa.

Em dezembro de 2020, a Small Business Administration (SBA) divulgou os valores exatos dos empréstimos para mais de 600.000 pequenas empresas e organizações sem fins lucrativos que receberam pelo menos US $ 150.000 em empréstimos. Os golpistas usaram essas informações para se passar por credores PPP, solicitando informações adicionais sobre pedidos de empréstimo ou perdão de empréstimo.

O que torna esses e-mails fraudulentos perigosos não é apenas o nível de sofisticação, de acordo com pesquisadores de segurança da Microsoft . Por se parecerem com tráfego de rede legítimo, os ataques de BEC geralmente escapam das listas de spam e têm uma probabilidade muito maior de "aterrissar" nas caixas de entrada de destino.

A Microsoft observou que os ataques de BEC geralmente não são detectados até que causem uma perda monetária significativa, porque muitas soluções de segurança oferecem visibilidade limitada ou parcial de elementos de infraestrutura distintos. Para detectar um BEC antecipadamente, uma organização deve ter visibilidade abrangente do tráfego de e-mail, identidades, terminais e comportamentos de nuvem, além da capacidade de correlacionar o que parecem ser eventos isolados e fornecer uma abordagem de detecção entre domínios mais sofisticada.

PROTEÇÃO É A CHAVE
Existem várias maneiras de as pequenas empresas se protegerem contra BEC:

· Use a autenticação multifator, de forma que as senhas sozinhas não sejam suficientes para que os usuários acessem o e-mail comercial e os sistemas.

· Estabeleça um processo de negócios claro e consistente para que os funcionários verifiquem e validem solicitações de pagamento e informações confidenciais.

· Desenvolver e manter bons controles de segurança, incluindo aquele fator sempre crítico, o treinamento do usuário .

O Australian Cyber ​​Security Center (administrado pelo Departamento de Defesa da Austrália) aconselha as empresas a considerarem o registro de domínios semelhantes aos de sua organização (por exemplo, substitua letras como 'l' e 'o' no nome da empresa por dígitos como como '1' e '0').

As pequenas empresas que operam seus próprios servidores e domínios de e-mail também devem implementar a verificação de e-mail. Sender Policy Framework (SPF) e Domain Message Authentication Reporting and Conformance (DMARC) são controles projetados para detectar emails falsos, especificando quais servidores de email estão autorizados a enviar emails em nome do domínio de uma organização.

O FBI recomenda que todos em uma organização sejam informados para:

· Não clique em nada em um e-mail não solicitado ou mensagem de texto pedindo para você atualizar ou verificar as informações da conta. Procure o número de telefone da empresa por conta própria (não use aquele listado pelo golpista em potencial) e ligue para a empresa para perguntar se a solicitação é legítima.

· Examine cuidadosamente o endereço de e-mail, URL e ortografia usados ​​em qualquer correspondência. Os golpistas usam pequenas diferenças para enganar seus olhos e obter o clique.

· Cuidado com o que você baixa. Nunca abra um anexo de e-mail de alguém que você não conhece e tenha cuidado com anexos de e-mail encaminhados para você.

· Configure a autenticação de dois fatores (ou multifator) em qualquer conta que permita e nunca desative-a.

· Verifique os pedidos de pagamento e compra pessoalmente, se possível, ou ligando para ter certeza de que é legítimo. Verifique quaisquer alterações no número da conta ou procedimentos de pagamento com a pessoa que faz a solicitação.

· Fique especialmente atento se o e-mail estiver pressionando o destinatário a agir rapidamente.

AJUDA SEGURA DE ESPECIALISTA

As soluções Dell Small Business são uma fonte valiosa de orientação para organizações que desejam evitar esses ataques com a ajuda de medidas de segurança cibernética e proteção de rede.

No entanto, se uma empresa for vítima de um golpe de BEC, é importante agir rapidamente e entrar em contato com qualquer instituição financeira imediatamente. Peça ao seu processador de pagamentos para entrar em contato com as instituições financeiras no recebimento de quaisquer transações fraudulentas. Em seguida, entre em contato com o escritório local do FBI para relatar o crime e registrar uma reclamação no Internet Crime Complaint Center do FBI.

Fonte: ZDNet