Defenda-se contra a fraude de comprometimento de e-mail comercial — um novo negócio como de costume

Mais de 81% dos profissionais financeiros nos EUA relataram que suas organizações foram alvos de fraude em 2019, de acordo com a última pesquisa da Association for Financial Professionals ‡ sobre fraudes e controles de pagamentos.

Quase todo mundo conhece o termo phishing . Conforme comumente definido, phishing está enviando uma mensagem on-line alegando falsamente ser outra pessoa, geralmente incluindo uma solicitação para que o destinatário execute uma ação prejudicial, como baixar um anexo malicioso ou clicar em um link fraudulento. Ao clicar ou baixar o anexo, o invasor pode obter acesso a dados confidenciais, como credenciais de login e quaisquer privilégios que a vítima possua.

Com o tempo, a maioria dos empresários aprendeu a identificar links suspeitos em e-mails. Além disso, os filtros de e-mail ficaram melhores em detectar e descartar e-mails provavelmente enviados com intenção maliciosa. Mas, infelizmente, os perpetradores também se tornaram mais sofisticados. Um subtipo de phishing que foi “profissionalizado” nos últimos anos é o comprometimento de e-mail comercial (BEC).

Sobre BEC e transferências eletrônicas

A fraude de transferência bancária tornou-se tão prevalente que o FBI emitiu um anúncio de serviço público‡ sobre o assunto. Nesse anúncio, o FBI observou que esse tipo de fraude cresceu mais de 100% de junho de 2016 a julho de 2019, resultando em uma perda de mais de US$ 26 bilhões.

Em esquemas BEC, normalmente não há links maliciosos. Em vez disso, o objetivo é encontrar uma maneira de se passar por um tomador de decisão confiável. Um exemplo comum são os perpetradores se passando por um executivo da empresa e enviando um e-mail “como” esse executivo solicitando a conclusão de uma transferência eletrônica.

Para maximizar a probabilidade de sucesso, os perpetradores podem realizar pesquisas detalhadas e extensa engenharia social. Eles podem saber, por exemplo, que sua empresa está envolvida em um projeto específico com um fornecedor específico. Eles podem ter coletado informações pessoais sobre o executivo da empresa por meio de ataques anteriores ao departamento de RH – informações que podem ajudá-los a criar uma solicitação que reflita perfeitamente as instruções de fiação genuínas.

Às vezes, eles podem realizar uma tentativa de falsificação de identidade a partir de um endereço de e-mail semelhante ao real. Por exemplo, no decorrer de um dia útil apressado, muitas pessoas perderiam a diferença entre [email protected] e [email protected]. E isso é apenas se eles estiverem procurando por diferenças em primeiro lugar.

Em outros casos, os perpetradores realizam tentativas de golpe BEC tendo invadido a conta de e-mail de um executivo. Nesse ponto, eles não precisam falsificar a aparência de um e-mail legítimo e tentar mascarar sua origem real. Em vez disso, agora eles realmente “são” o executivo e podem tomar quaisquer decisões como esse executivo com base em seu nível de privilégios.

Junte essas técnicas sofisticadas a operações de fraude dedicadas e profissionalizadas e o resultado são bilhões de dólares em perdas financeiras reais para os BECs.

Uma solicitação de transferência eletrônica "de você" pode ser realizada?

Digamos que um agente malicioso invadiu seu e-mail e enviou uma solicitação à sua equipe financeira para transferir fundos para um fornecedor existente, pois o cronograma do projeto foi adiantado e você gostaria que o fornecedor fosse pago antes do seu visita da equipe no local no dia seguinte. O valor solicitado para transferência está de acordo com outros pagamentos a este fornecedor.

Além disso, diga que “você” informa sua equipe de finanças que acabou de receber e está repassando novos detalhes da conta bancária para o fornecedor, que, diz seu e-mail, foi alterado por um motivo plausível.

Você tem certeza de que a solicitação de transferência eletrônica não será atendida? Afinal, ele vem do seu endereço de e-mail real (sem falsificação), não inclui links suspeitos e faz uma solicitação de pagamento a um fornecedor existente que você pode até ter conversado recentemente com esses mesmos profissionais de finanças.

À medida que os esquemas BEC se tornam mais sofisticados, você não pode confiar que você ou seu pessoal tenham um olho afiado. Você deve ter fluxos de trabalho e sistemas bem estabelecidos antes do tempo.

O que você pode fazer para se manter protegido

A seguir estão medidas básicas de proteção para ajudar sua organização a evitar perdas financeiras devido a golpes desse tipo.

• Estabelecer instruções de pagamento predefinidas; nunca varie desses padrões, a menos que as alterações sejam completamente verificadas.
• Limite estritamente o número de funcionários em sua organização que têm autoridade para aprovar e/ou realizar transferências eletrônicas.
• Estabeleça um protocolo pelo qual as solicitações de transferência eletrônica enviadas por e-mail sejam sempre validadas por algum outro canal de comunicação ou por meio de uma autenticação multifator.
• Sempre confirme verbalmente quaisquer alterações nas instruções de pagamento de um fornecedor usando dados de contato registrados que não venham do e-mail. Mantenha uma lista não eletrônica de contatos desses fornecedores que você sabe que estão autorizados a aprovar solicitações de mudança de instruções de transferência.
• Sempre que um banco for contatado para verificar a transferência eletrônica, adie a transação até que verificações adicionais possam ser realizadas.
• Exigir aprovação dupla para qualquer solicitação de transferência eletrônica envolvendo:
  • Um valor em dólares acima de um limite específico
  • Parceiros comerciais que não foram adicionados anteriormente a uma lista de parceiros comerciais aprovados para receber pagamentos por transferência eletrônica
  • Quaisquer novos parceiros comerciais
  • Novos números de banco e/ou conta para parceiros comerciais atuais
  • Transferências eletrônicas para países fora dos padrões normais de negociação
• Eduque seus funcionários sobre o BEC e as etapas que eles podem tomar para minimizar os riscos.

Finalmente, banco com parceiros que você conhece. A equipe de pagamentos bancários que atende sua organização deve estar familiarizada com seus negócios e seus padrões normais. Essa familiaridade, juntamente com a conscientização diligente e sistemas sofisticados de alerta de fraude, ajudam a protegê-lo de uma ameaça séria e crescente.

Mantenha-se informado sobre as tendências do setor e notícias importantes da empresa visitando nosso  Notícias do setor  seção sobre  umb.com . Siga a UMB no LinkedIn,  Facebook ‡ e  Twitter ‡ para ver atualizações regulares sobre nossa empresa, pessoas e perspectivas financeiras oportunas.