Quell'e-mail non era del tuo capo: 6 modi per fermare la frode del CEO

Sai qual è il peggior tipo di truffa di phishing? Il tipo che non puoi semplicemente ignorare: come la CEO Fraud. Email che si suppone provengano dal governo, che ti dicono di fare quel pagamento in sospeso relativo alle tasse o di rischiare un'azione legale. Email che sembrano inviate dalla tua scuola o università, che ti chiedono di pagare quella tassa d'iscrizione che hai saltato. O anche un messaggio dal tuo capo o CEO, che ti dice di trasferirgli dei soldi "come favore".

Il problema con e-mail come questa è che stanno impersonando una figura di autorità, che sia il governo, il tuo consiglio universitario o il tuo capo al lavoro. Queste sono persone importanti, e ignorare i loro messaggi avrà quasi certamente gravi conseguenze. Quindi sei costretto a guardarle, e se sembra abbastanza convincente, potresti anche cascarci.

Ma diamo un'occhiata alla frode dei CEO. Che cos'è esattamente? Può accadere a voi? E se può, cosa dovresti fare per fermarla?

Non sei immune alle frodi dei CEO

Una truffa da 2,3 miliardi di dollari ogni anno, ecco cos'è. Vi starete chiedendo: "Cosa potrebbe mai far perdere alle aziende così tanti soldi per una semplice truffa via e-mail?" Ma saresti sorpreso di quanto possano essere convincenti le email di frode dei CEO.

Nel 2016, Mattel ha quasi perso 3 milioni di dollari a causa di un attacco di phishing quando un dirigente finanziario ha ricevuto una e-mail dal CEO, che la istruiva a inviare un pagamento a uno dei loro fornitori in Cina. Ma è stato solo dopo aver controllato più tardi con il CEO che si è resa conto che non aveva mai inviato l'e-mail. Per fortuna, l'azienda ha lavorato con le forze dell'ordine in Cina e negli Stati Uniti per riavere i loro soldi pochi giorni dopo, ma questo non succede quasi mai con questi attacchi.

La gente tende a credere che queste truffe non accadranno a loro... finché non accadono a loro. E questo è il loro più grande errore: non prepararsi alla frode del CEO.

Le truffe di phishing non solo possono costare alla vostra organizzazione milioni di dollari, ma possono avere un impatto duraturo sulla reputazione e la credibilità del vostro marchio. Si corre il rischio di essere visti come l'azienda che ha perso soldi a causa di una truffa via e-mail e di perdere la fiducia dei vostri clienti di cui conservate le informazioni personali sensibili.

Invece di rimuginare sul controllo dei danni dopo il fatto, ha molto più senso proteggere i vostri canali e-mail contro le truffe di spear phishing come questa. Ecco alcuni dei modi migliori per garantire che la vostra organizzazione non diventi una statistica nel rapporto dell'FBI sul BEC.

Come prevenire le frodi degli amministratori delegati: 6 semplici passi

1. Educare il personale alla sicurezza
   Questo è assolutamente critico. I membri della tua forza lavoro, e specialmente quelli della finanza, devono capire come funziona il Business Email Compromise. E non intendiamo solo una noiosa presentazione di 2 ore sul non scrivere la password su un post-it. È necessario addestrarli su come guardare fuori per i segni sospetti che una e-mail è falso, guardare fuori per gli indirizzi e-mail spoofed, e le richieste anomale altri membri del personale sembrano fare attraverso la posta elettronica.
2. Attenzione ai segni rivelatori dello spoofing
   Itruffatori via e-mail usano tutti i tipi di tattiche per convincerti a soddisfare le loro richieste. Queste possono variare da richieste/istruzioni urgenti per trasferire denaro come un modo per farti agire rapidamente e senza pensare, o anche chiedendoti l'accesso a informazioni riservate per un "progetto segreto" che i piani alti non sono ancora pronti a condividere con te. Queste sono serie bandiere rosse, e devi controllare due o tre volte prima di intraprendere qualsiasi azione.
3. Proteggiti con DMARC
   Il modo più semplice per prevenire una truffa di phishing è quello di non ricevere mai l'e-mail. DMARC è un protocollo di autenticazione e-mail che verifica le e-mail provenienti dal tuo dominio prima di consegnarle. Quando applichi DMARC sul tuo dominio, qualsiasi aggressore che impersona qualcuno della tua organizzazione sarà rilevato come un mittente non autorizzato, e la sua email sarà bloccata dalla tua casella di posta. Non dovrai più avere a che fare con le email spoofate.
4. Ottenere l'approvazione esplicita per i trasferimenti di denaro
   Questo è uno dei modi più semplici e diretti per evitare trasferimenti di denaro alle persone sbagliate. Prima di impegnarsi in qualsiasi transazione, rendete obbligatoria l'approvazione esplicita della persona che richiede il denaro usando un altro canale oltre all'email. Per i bonifici più grandi, rendete obbligatorio ricevere una conferma verbale.
5. Segnalare le e-mail con estensioni simili
   L'FBI raccomanda che la vostra organizzazione crei regole di sistema che segnalino automaticamente le e-mail che usano estensioni troppo simili alle vostre. Per esempio, se la tua azienda usa '123-business.com', il sistema potrebbe rilevare e segnalare le email che usano estensioni come '123_business.com'.
6. Acquistare nomi di dominio simili
   Gli attaccanti spesso usano nomi di dominio dall'aspetto simile per inviare email di phishing. Per esempio, se la tua organizzazione ha una 'i' minuscola nel suo nome, potrebbero usare una 'I' maiuscola, o sostituire la lettera 'E' con il numero '3'. Fare questo ti aiuterà a ridurre le possibilità che qualcuno usi un nome di dominio estremamente simile per inviarti email.