Aantal gevallen van CEO Fraude neemt toe

11 mei 2017
CEO fraude of whaling is een vorm van phishing die steeds vaker gebruikt bij spearphishing aanvallen

Aantal gevallen van CEO Fraude neemt toe

De afgelopen maanden is het aantal meldingen van pogingen tot CEO fraude (ook wel Whaling genoemd) weer flink toegenomen. Bij CEO fraude wordt een financieel medewerker gevraagd om op verzoek van de hoogste directie (CEO) een groot geldbedrag over te maken naar een bepaalde bankrekening. Veel medewerkers willen een verzoek van hun baas niet in twijfel trekken en maken het bedrag te goeder trouw over… helaas wel naar een cybercrimineel.

Hoe wordt CEO fraude gepleegd?

De aanvaller begint met het leren kennen van zijn doelwit. Zo gaat men op zoek naar de organisatiestructuur, personen die bevoegd zijn om transacties te doen, leveranciers, partners en andere bruikbare informatie. Met de verzamelde informatie wordt de aanval voorbereid. In de meeste gevallen weet de crimineel hoe de mails binnen de organisatie zijn opgebouwd en hoe specifieke medewerkers hun e-mails beginnen en afsluiten.

De crimineel stuurt namens de CEO een urgent verzoek aan een financieel medewerker, meestal gaat dit in twee stappen. Eerst wordt de betreffende medewerker gevraagd of hij/zij tijd heeft om een belangrijke transactie of mutatie te verwerken. Zo ja, dan worden de details van een zogenaamd ‘vertrouwelijke’ transactie aan de medewerker doorgestuurd.

Waarom is CEO fraude succesvol?

Er zijn verschillende redenen waarom CEO fraude succesvol is. Allereerst heeft de aanvaller veel voorkennis en informatie over de organisatie die hij aanvalt. Hierdoor is het makkelijker om het vertrouwen van medewerkers te winnen en het verzoek er legitiem uit te laten zien. Daarnaast spelen urgentie en autoriteit een belangrijke rol; het verzoek dient snel ingewilligd te worden anders heeft het negatieve gevolgen, bijvoorbeeld dat een fusie die geen doorgang kan vinden, een levering niet tijdig geleverd kan worden, een deal gecanceld wordt, et cetera. De medewerker voelt zich in veel gevallen tevens bezwaard om het verzoek te verifiëren, want het verzoek komt immers van de baas, die is al zo druk en slecht bereikbaar en wat zal de baas wel niet denken als ik vraag of zijn verzoek in twijfel trek?

Hoe kan CEO fraude voorkomen worden?

Er zijn een aantal belangrijke zaken die de kans op CEO fraude drastisch verkleinen. Allereerst dient er een beleid te zijn dat voorschrijft welke stappen doorlopen moeten worden voordat een (grote) transactie verwerkt mag worden. Daarbij is het belangrijk dat er onder geen enkele omstandigheid van dit beleid afgeweken mag worden, waardoor afwijkende verzoeken altijd geverifieerd moeten worden.

Vervolgens is het belangrijk dat medewerkers op de hoogte gebracht worden van het verschijnsel CEO fraud en leren dat zij niet blindelings op spamfilters en andere technische oplossingen kunnen vertrouwen. Daarnaast is het goed als medewerkers leren hoe zij geïmiteerde e-mails, niet legitieme domeinen en kenmerken van phishing kunnen herkennen.

Tot slot is het goed om zowel op organisatieniveau alsmede op individueel niveau te bepalen welke informatie wel of niet misbruikt kan worden voor een Social Engineering aanval. Zo kunt u een overwogen beslissing maken over welke informatie u juist wel en juist niet via sociale netwerken, op uw bedrijfspagina en in nieuwsartikelen wilt delen.

Wilt u meer weten over hoe u uw organisatie kunt beschermen tegen CEO fraud en andere vormen van Social Engineering? Neem dan eens vrijblijvend contact op met een van onze adviseurs, wij helpen u graag verder!

 

Bel ons: 088 – 018 1600

Terug naar het overzicht