O Business Email Compromise (BEC) é uma evolução avançada das fraudes através de e-mail tradicionais – phishing. Em vez de e-mails massivos e genéricos, esta fraude se caracteriza por ser mais específica e direcionada. Os atacantes usam contas corporativas suplantadas ou comprometidas para enviar e-mails que parecem legítimos e assim induzir a erro os funcionários, geralmente para obter um benefício econômico.
Muitas vezes, os atacantes se apresentam como um superior que solicita uma ação urgente. A petição costuma ser confidencial, com instruções para não compartilhar a informação com outras pessoas da organização e justificar a urgência para evitar os procedimentos habituais de comprovação.
Como um ataque BEC é realizado?
Comprometimento da conta de e-mail: Isso pode ser alcançado obtendo as credenciais de uma conta real ou modificando o domínio de uma conta legítima para que as diferenças sejam imperceptíveis à primeira vista.
Por exemplo:
usuario@dominio.com
usuario@dorninio.com
A letra “m” em “dominio” é trocada pelas letras “rn”, o que à primeira vista pode passar despercebido.
Contato através da conta falsificada: Os cibercriminosos enviam e-mails simulando ser uma figura de autoridade dentro da empresa, solicitando informações confidenciais ou mudanças em dados sensíveis, como contas bancárias. Para tornar a solicitação mais crível, às vezes os atacantes fazem pedidos prévios (como pedir documentação) antes de solicitar ações mais comprometedoras, como transferências de fundos. É importante ter em mente que esta informação inicial pode ser utilizada posteriormente para outras fraudes.
Possível uso de software malicioso – malware: Embora os ataques BEC não costumem exigir software malicioso, em alguns casos podem incluir links ou arquivos com malware que lhes permita acessar os sistemas corporativos sem serem detectados.
Tipos mais comuns de ataques BEC
Fraude do CEO: O atacante se faz passar por um alto executivo (CEO, CFO, etc.) e solicita uma transferência urgente para uma conta controlada pelos cibercriminosos ou solicita informações sensíveis.
Fraude a fornecedores: Simula-se ser um fornecedor de confiança e pede-se para modificar os dados bancários onde os pagamentos devem ser realizados, desviando assim fundos para contas fraudulentas.
Fraude a RH: Os atacantes se fazem passar por um funcionário e solicitam ao Recursos Humanos que mude o número da conta onde o salário é depositado, redirecionando o salário para uma conta controlada pelos criminosos.
Como se proteger?
O BEC não ataca os sistemas tecnológicos diretamente, mas utiliza técnicas de manipulação psicológica para que as pessoas envolvidas ajam de maneira precipitada. Por isso, diante de qualquer pedido incomum ou urgente, é recomendável:
Verificar a autenticidade do remetente através de um canal alternativo, como uma ligação telefônica direta.
Revisar cuidadosamente o endereço de e-mail, em busca de leves modificações no domínio.
Implementar políticas claras para a gestão de transferências e mudanças em dados confidenciais, que incluam uma segunda verificação por outro membro da equipe.
Sensibilizar os funcionários através de treinamentos regulares sobre como identificar este tipo de fraudes.
Manter uma atitude de prevenção e uma comunicação interna clara é fundamental para minimizar os riscos.
Fontes:
Configuração de cookies
