Steeds meer organisaties krijgen ermee te maken: CEO-fraude. Deze vorm van digitale impersonatie kost bedrijven jaarlijks miljoenen euro’s of reputatieschade omdat belangrijke bedrijfskritische data wordt gelekt. Hoe herken je CEO-fraude en wat kun je er als organisatie tegen doen? Cloudspecialist Eelco Huurdeman schrijft erover in dit artikel.
Bekijk onze Managed Workspace dienst
Wat is CEO-fraude?
Bij CEO-fraude doet iemand zich voor als iemand anders, vaak een directeur of een andere hooggeplaatste medewerker. De aanvaller stuurt vaak een mail die afkomstig is van deze persoon, waarin een verzoek staat om financiële gegevens of bedrijfsgevoelige informatie te delen.
Denk bijvoorbeeld aan een mail van een directeur met het verzoek om snel een openstaande factuur te betalen naar een bepaald rekeningnummer. In werkelijkheid is dat rekeningnummer natuurlijk van de kwaadwillende die snel probeert te cashen.
CEO-fraude in de praktijk
Een impersonatie-aanval kan op veel verschillende manieren plaatsvinden. Kwaadwillenden kunnen bijvoorbeeld het e-mailaccount van de directeur hebben gehackt.
Cyrillisch alfabet versus Latijns alfabet
In andere gevallen kunnen zij bijvoorbeeld een alternatieve domeinnaam gebruiken. Denk bijvoorbeeld aan het gebruik van Cyrillische alfabet versus het alfabet zoals wij het kennen. Dit verschil is erg klein en bijna niet te zien, waardoor kwaadwillenden het ook gebruiken voor e-mailadressen.
Voorbeeld:
Alleen Latijnse karakters: Hallo
Cyrillische letters: HaІІo (de ‘l’ in dit voorbeeld is een cyrillisch karakter)
Lettermanipulatie
Ook in het normale alfabet is het mogelijk om e-mailadressen te manipuleren. Bijvoorbeeld door een ‘m’ te vervangen door ‘r’ en een ‘n’, bijvoorbeeld rnacbook.com.
Goede voorbereiding
Aanvallen voor CEO-fraude zijn vaak erg goed voorbereid. De kwaadwillende doet vaak uitgebreid onderzoek naar de gebeurtenissen binnen een bedrijf en speelt hier tevens ook op in. Deze kennis gebruiken ze ook in hun e-mails om zo het vertrouwen en de geloofwaardigheid te vergroten. Veel nuttige informatie is bovendien te vinden via social media. Denk aan e-mailadressen maar ook contacten via LinkedIn.
Hoe vaak komt CEO-fraude voor?
CEO-fraude komt vaker voor dan u misschien denkt. Uit cijfers van de Fraudehelpdesk blijkt dat er in eerste helft van 2018 ruim 2,5 miljoen euro is buitgemaakt door CEO-fraude. Dit was meer dan de 650.000 euro die in 2016 werd gemeld. Uit onderzoek van Mimecast (Email Security Risk Assessment) blijkt dat CEO-fraude vorig jaar per kwartaal met 50% toenam ten opzichte van het kwartaal daarvoor.
Voorbeeld: Pathé
Een recent voorbeeld van een impersonatie-aanval is de CEO-fraude bij Pathé. De Nederlandse directie kreeg een dringend berichtje van het Franse hoofdkantoor om 826.521 miljoen euro over te schrijven. Al snel bleek dat het niet om het Franse hoofdkantoor te gaan, maar om een fraudersbende. Deze bende heeft dezelfde truc meerdere malen uitgehaald en wisten zo in totaal ruim 19 miljoen euro buit te maken.
4 tips om je te beschermen tegen CEO-fraude
Er is een aantal stappen te zetten om het risico op CEO-fraude te beperken. Onze tips:
1. Zet security awareness hoog op de agenda
Als het om cybersecurity gaat, is de mens vaak nog de zwakste schakel. Dit is ook het geval bij CEO-fraude. Train daarom de mensen binnen je organisatie om CEO-fraude te herkennen. Slechts 11 procent van de organisaties geeft bewustwordingstrainingen. Bij onverwachtse berichten moeten alle alarmbellen gaan rinkelen, maar dat kan alleen als de medewerker weet waar hij of zij op moet letten.
2. Zorg voor een securityprotocol
Zo’n awareness training is vast te leggen in een securityprotocol. In een securityprotocol leg je onder andere vast wat een medewerker moet doen als als hij of zij een verdachte mail tegenkomt. Bij wie moet de persoon bijvoorbeeld zijn en welke stappen moet deze verantwoordelijke vervolgens weer zetten? Een securityprotocol is daarom zeker aan te raden.
Lees ook: 4 tips voor het verbeteren van het securityprotocol van jouw organisatie
3. Zorg voor de juiste tools en integraties
Naast beleid en trainingen zijn er diverse technologieën toe te passen die helpen in het detecteren van kwaadwillende e-mails. Zo bestaat er anti-malware software die herkent of er kwaadaardige bijdragen in een e-mail zitten. Voor CEO-fraude is dat niet altijd genoeg, maar er zijn wel gespecialiseerde oplossingen voor te vinden, zoals Mimecast. Deze tool herkent onder andere onregelmatigheden in domeinnamen. Deze tool is bovendien ook te integreren met Office 365.
4. Houd je IT-leverancier scherp
Ga er niet zomaar vanuit dat je IT-leverancier alles tot in de puntjes voor u regelt. Een zwakke beveiliging in het netwerk van uw softwareleverancier kan bijvoorbeeld een ingang zijn voor een hacker. Check daarom geregeld hoe het geregeld is bij uw IT-leverancier qua veiligheid. Vaak laat een IT-leverancier zich regelmatig toetsen op informatiebeveiligingsprocessen intern, waarbij gekeken wordt welke maatregelen er genomen worden om klantgegevens veilig te houden. Een ISO-certificering (9001, 27001) is vaak een bewijs dat het goed geregeld is.
Kwaadwillenden zijn continu op zoek naar nieuwe manieren om geld of belangrijke gegevens te stelen. Investeren in mensen, processen en technische oplossingen kunnen helpen in een betere beveiliging. Bent u benieuwd hoe True u hierin kan ondersteunen? Neem dan contact met ons op.
