Was ist Business Email Compromise (BEC)?

Einführung

Elektronische Post, auch bekannt als E-Mail, ist eine der wichtigsten Erfindungen der Geschäftswelt des späten^20.Jahrhunderts. Sie ermöglicht es Fachleuten, Nachrichten schnell zwischen Geräten in unmittelbarer Nähe oder weltweit auszutauschen. Viele dieser Nachrichten enthalten Anweisungen, Befehle, Anfragen, Anhänge und andere Arten der Kommunikation.

Benutzer in schnelllebigen Arbeitsumgebungen vertrauen oft auf das E-Mail-System, um ihre Produktivität und ihren Arbeitsablauf zu optimieren. Und gerade dieses Vertrauen in das System nutzen Angreifer aus, um Business Email Compromise (BEC)-Angriffe so effektiv durchzuführen. BEC-Betrug und -Fälschungen sind heute eine solche wachsende Bedrohung, dass das FBI sie als „eine der finanziell schädlichsten Online-Straftaten“ bezeichnet hat.

Lesen Sie diesen ausführlichen Leitfaden, um mehr zu erfahren über:

• Was ist die Kompromittierung von Geschäfts-E-Mails?
• Das Hauptziel einer geschäftlichen E-Mail-Kompromittierung.
• Beispiele für BEC-Angriffe.
• Wie man die Kompromittierung von Geschäfts-E-Mails verhindert.

Definition der Kompromittierung geschäftlicher E-Mails: Was ist eine Kompromittierung von Geschäfts-E-Mails (BEC)?

Hier eine kurze Definition von Business Email Compromise (BEC): BEC ist eine Art von Cyberkriminalität undSocial-Engineering-Angriff, bei dem Betrüger E-Mails verwenden, um ein Opfer dazu zu verleiten, Geld zu überweisen oder sensible Daten für ein Finanzverbrechen preiszugeben. Der Angreifer kann E-Mails auf verschiedene Weise für einen BEC-Betrug nutzen, von einerSpoofing-Attackebis hin zu einer tatsächlichen Kompromittierung des E-Mail-Kontos (EAC).

Wie man die Kompromittierung von Geschäfts-E-Mails verhindert

Sichere E-Mail

Verwenden Sie die Anti-Spam- und Anti-Malware-Filter Ihrer E-Mail, um unsichere E-Mails zu blockieren. Ergänzen Sie die integrierten Schutzfunktionen Ihrer E-Mail mit Sicherheitssoftware, um Ihre BEC-Abwehr zu optimieren. Erwägen Sie die Verschlüsselung sensibler Daten, wenn Sie diese per E-Mail versenden, um ein Abhören zu verhindern. Schließlich sollten Sie E-Mails kennzeichnen, bei denen die Absender- und die Antwortadresse nicht übereinstimmen.

Mehrstufige Authentifizierung (MFA)

MFA kann das Risiko mindern, dass ein Hacker gestohlene Anmeldedaten verwendet, um auf ein E-Mail-Konto für einen BEC-Betrug zuzugreifen. Mit MFA benötigt ein Bedrohungsakteur möglicherweise eine zweite Form der Identifizierung, um auf ein E-Mail-Konto zuzugreifen. Alle Mitarbeiter mit hohem Risiko in Ihrem Unternehmen, darunter Führungskräfte, Finanzfachleute, Personalverantwortliche und Administratoren, müssen MFA für die E-Mail-Konten des Unternehmens aktivieren.

Cybersecurity-Kenntnisse

Ihr Unternehmen kann seine Cybersicherheitslage durch Schulungen erheblich verbessern. Hier sind einige Praktiken, die die Mitarbeiter befolgen sollten:

• Klicken Sie niemals auf unaufgeforderte E-Mail-Links, da diese zu bösartigen Websites oder Malware führen können.
• Vermeiden Sie die Weitergabe vertraulicher Informationen im Internet, wie z. B. Details zu einer geschäftlichen Transaktion oder Reisepläne. Bedrohungsakteure können vertrauliche Informationen nutzen, um noch überzeugendere Spear-Phishing-Angriffe zu entwickeln.
• Denken Sie zweimal nach, bevor Sie unbekannte Software herunterladen.

Übungen zur Kompromittierung von Geschäfts-E-Mails

Arbeiten Sie mit Ihrem Sicherheitsteam zusammen, um Simulationen von Social-Engineering-Angriffen durchzuführen. Diese Übungen halten Ihre Mitarbeiter auf dem Laufenden und helfen dabei, Schwachstellen im Kampf gegen E-Mail-Betrügereien zu erkennen. Bitte aktualisieren Sie auch regelmäßig Ihre Richtlinien und Schulungen, um Ihre Cybersicherheit zu gewährleisten.

Sichere Zahlungen

Verwenden Sie stets sichere Zahlungsmittel. Vermeiden Sie Zahlungen über Geschenkkarten oder Kryptowährungseinlagen. Wenn Sie eine Banküberweisung senden, überprüfen Sie die Bankdaten mit Ihren Unterlagen.

E-Mail-Authentifizierung

Um das Risiko von BEC-Betrug zu verringern, muss man lernen, Phishing-E-Mails zu erkennen. Hier sind einige Tipps, die Mitarbeitern helfen können, E-Mails zu authentifizieren:

• Achten Sie auf ungewöhnliche Terminologie, seltsame Begrüßungen oder Grammatik- und Rechtschreibfehler.
• Vermeiden Sie es, unaufgeforderte Anhänge zu öffnen.
• Seien Sie vorsichtig bei Anfragen nach Passwörtern oder anderen sensiblen Daten.
• Überprüfen Sie immer die E-Mail-Adresse, um sicherzustellen, dass sie mit der tatsächlichen E-Mail-Adresse des Absenders übereinstimmt.
• Prüfen Sie E-Mail-Anfragen für Geldüberweisungen sorgfältig.
• Achten Sie auf Rechnungen mit kurzen Zahlungsfristen.
• Überprüfen Sie ungewöhnliche Zahlungsaufforderungen, auch wenn sie von Unternehmen kommen, denen Sie vertrauen.
• Untersuchen Sie Zahlungsanforderungen, bei denen Sie auf Autorisierungsprüfungen verzichten müssen.
• Vertrauen Sie auf Ihren Instinkt, wenn Sie bei einer Zahlungsaufforderung etwas Ungewöhnliches bemerken. Holen Sie erst einmal tief Luft und gehen Sie der Sache nach.

Endpunktsicherheit

Verwenden Sie auf allen Geräten Anti-Malware-Software, um sich vor Spionageprogrammen zu schützen. Wir empfehlen Unternehmen, endpoint protection Software einzuführen, um Desktops, Laptops und Smartphones vor bösartigen Programmen zu schützen, die Betrügern bei BEC helfen können.

Sicherheit der Server

Bedrohungen für Ihre Server können sogar noch gefährlicher sein als Bedrohungen für Ihre Endgeräte. Nach dem Eindringen in Ihre Endgeräte können Angreifer auf wichtige Daten wie Finanzdaten, geistiges Eigentum und mehr zugreifen, um BEC-Betrugsversuche zu starten, die fast identisch mit authentischen E-Mails sind. Investieren Sie noch heute indie Serversicherheit, um den Verlust von Zeit, Geld, Produktivität und dem Ruf Ihres Unternehmens zu verhindern.

Management der Lieferkette

Erstellen Sie Sicherheitsprotokolle zur Überprüfung von Zahlungsaufforderungen, E-Mails und Anfragen von Ihren Lieferanten und Anbietern. Authentifizieren Sie alle ungewöhnlichen Anfragen, z. B. Änderungen von Kontakt- oder Zahlungsinformationen.

Wie funktioniert die Kompromittierung von Geschäfts-E-Mails (BEC)?

Ein typischer E-Mail-Angriff auf ein Unternehmen umfasst in der Regel mehrere Phasen:

Informationsbeschaffung
Die Angreifer recherchieren das Ziel, unabhängig davon, ob es sich um eine Einzelperson handelt, wie beispielsweise den Finanzvorstand eines Unternehmens oder einen Reisevermittler in einem kleinen Unternehmen, oder um ein Team, wie beispielsweise die Personal- oder Buchhaltungsabteilung einer Organisation. Sie können auch Informationen über die Lieferanten, Geschäftspartner, Kunden, Mitarbeiter, E-Mail-Systeme und Cybersicherheitsmaßnahmen der Zielorganisation sammeln.

Zu den Tools, die Bedrohungsakteure für die Informationsbeschaffung verwenden, gehören Suchmaschinen und Social-Media-Seiten wie LinkedIn. Das Ziel der Informationsbeschaffung ist es, ein genaues Profil für einen überzeugenden Social-Engineering-Angriff zu erstellen und die am stärksten gefährdeten Ziele zu identifizieren.

Planungs
Nach dem Sammeln von Informationen legen die Angreifer die besten Methoden und Tools fest, um den größtmöglichen ROI für den BEC-Angriff zu erzielen. Sie können beispielsweise ein gefälschtes E-Mail-Konto, eine gefälschte Website, ein gehacktes E-Mail-Konto, Phishing-Angriffe oder einenmit Malware infizierten Computer oder eininfiziertes Gerät verwenden.

Grooming-
Je nach Art des Angriffs können Angreifer verschiedene Social-Engineering-Taktiken anwenden, um ihre Ziele zu manipulieren und sie schließlich mit Überzeugungskraft dazu zu bringen, falsche Entscheidungen zu treffen. Sie können auch versuchen, gängige Arbeitsabläufe nachzuahmen, beispielsweise indem sie nach einem Passwort fragen oder ein wichtiges Dokument senden.

Das Ziel von Grooming kann eines der folgenden sein:

• Mehr Informationsbeschaffung.
• Ablegen von Malware wie Trojanern oder Spyware.
• Hacken eines E-Mail-Kontos.
• Vorbereitung eines Ziels für die vorletzte Phase des Angriffs auf Geschäfts-E-Mails.

Ausführungs
Die Art der Ausführungsphase hängt zwar von der Art des Angriffs ab, beinhaltet jedoch fast immer eine Identitätsfälschung per E-Mail.
Hier sind einige BEC-Szenarien:

• Mitarbeiter der Finanzabteilung eines Unternehmens erhalten eine E-Mail von einem leitenden Angestellten des Unternehmens, der eine Überweisung anfordert. Die E-Mail stammt von einem gefälschten E-Mail-Konto, das echt zu sein scheint, da die Adresse nur geringfügig von der tatsächlichen Adresse abweicht.
• Die Hacker senden eine E-Mail vom gehackten Konto eines Geschäftsführers an einen Geschäftspartner und bitten um eine Überweisung für eine geschäftliche Transaktion.
• Die Beklagten in einem laufenden Verfahren erhalten eine dringende E-Mail von ihrem Anwalt, in der sie um eine Überweisung auf ein Bankkonto gebeten werden.
• Nachdem sie sich mit Malware Zugang zum E-Mail-Konto eines Kreditorenmanagers verschafft haben, senden die Betrüger Rechnungen mit ihren eigenen Kontonummern an alle Kunden des Unternehmens.
• In einer E-Mail vom Konto eines gehackten Einzelhändlers werden Kunden aufgefordert, sensible Daten wie Kreditkartennummern anzugeben.

Finanzieller Gewinn
Unabhängig davon, ob Hacker gefälschte E-Mails, gefälschte E-Mails oder Malware in einem Business-E-Mail-Compromise-Betrug verwenden, ist das Ziel immer finanzieller Gewinn. Das Geld fließt oft an Offshore-Standorte, wo es schwierig ist, es zurückzuverfolgen.

BEC gegen EAC

DasFBIund mehrere andere Experten beschreiben Business Email Compromise (BEC) und Email Account Compromise (EAC) als dasselbe. Einige Experten bezeichnen EAC jedoch als eine enge Variante von BEC. Wenn Sie sich mit den Details befassen möchten, können Sie sich EAC als eine Untergruppe von BEC vorstellen.

Kurz gesagt ist BEC ein Sammelbegriff für jede Art von E-Mail-Betrug, mit dem Angreifer ihre Opfer dazu verleiten, Geld zu überweisen. Beispielsweise können Angreifer gefälschte E-Mail-Adressen, gefälschte Websites, Spear-Phishing und gehackte E-Mail-Konten verwenden, um einen Business Email Compromise-Angriff durchzuführen.

EAC ist eine Art von E-Mail-Betrug, bei dem Angreifer ein gehacktes E-Mail-Konto verwenden. Typische Methoden, um ein E-Mail-Konto für EAC zu hacken, sind Phishing, Brute-Force-Angriffe und Credential Stuffing. Sie können auch Keylogger einsetzen, um die Anmeldedaten des Opfers zu stehlen.

BEC vs. Phishing

Die Frage nach dem Unterschied zwischen Business Email Compromise und Phishing-Angriffen mag verwirrend erscheinen, ist aber eigentlich ganz einfach. Ein Phishing-Angriff ist eine Art von Social-Engineering-Angriff, bei dem Angreifer kompromittierte E-Mails für verschiedene Zwecke nutzen, darunter Identitätsdiebstahl, Diebstahl geistigen Eigentums, Trolling, Malware-Infektionen, Informationsbeschaffung und BEC.

Beispielsweise können sie Spear-Phishing einsetzen, um das E-Mail-Konto eines CEOs zu hacken oder ihn dazu zu verleiten, eine Überweisung auf das Bankkonto eines Betrügers zu tätigen. Spear-Phishing-Angriffe, die sich gegen CEOs für einen BEC-Betrug richten, können auch als Whale-Phishing bezeichnet werden.

Wenn Sie sich fragen,was ein Whaling-Angriff ist, lesen Sie unseren Abschnitt „Grundlagen der Cybersicherheit”. 

Arten der Kompromittierung von Geschäfts-E-Mails

• Übernahme von geschäftlichen E-Mail-Konten: Diese Angriffe zielen in der Regel auf Geschäftsleute wie Führungskräfte oder Finanzfachleute ab. Nach dem Hacken des Kontos fordert der Angreifer Geld von den Kontakten des Opfers, z. B. von Kunden oder Lieferanten.
• Spear-Phishing: Spear-Phishing ist eine gezieltere Variante des Phishings, die auf eine Einzelperson oder eine kleine Gruppe von Personen abzielt. Im Gegensatz zu typischen Phishing-Angriffen sind Spear-Phishing-Angriffe gefährlicher, da sie speziell auf ein bestimmtes Ziel zugeschnitten sind.
• Schadsoftware: BEC-Betrüger können verschiedene Arten von Schadsoftware verwenden, um das Konto eines Finanzmanagers zu kapern und verschiedene Betrugsversuche zu starten.
• Datendiebstahl: Der Diebstahl von Daten ist manchmal ein Sprungbrett für einen BEC-Angreifer. Sie können gestohlene sensible Daten verwenden, um glaubhaftere BEC-Betrügereien zu erstellen oder E-Mail-Konten zu hacken.
• CEO-Betrug: Bei diesem Betrug hacken oder fälschen Betrüger das E-Mail-Konto eines leitenden Angestellten, um einen Mitarbeiter, Geschäftspartner oder Lieferanten dazu zu bringen, Geld zu überweisen, in der Regel per Banküberweisung. Der Betrüger kann auch nach Geschenkkarten fragen oder vertrauliche Informationen verlangen. 
• Nachahmung von Anwälten: Anwaltskanzleien sind das Ziel solcher Betrügereien. Nachdem er das E-Mail-Konto eines Anwalts gehackt hat, versucht der Betrüger, die Kunden der Kanzlei zu betrügen, meist mit gefälschten Rechnungen.
• Betrug mit falschen Rechnungen: Die Kunden von Anwaltskanzleien sind nicht die einzigen Unternehmen, die Opfer von gefälschten Rechnungen werden. Auch Kunden von Immobilienagenturen, Webdesignern und anderen kleinen bis mittleren Unternehmen können Opfer dieser BEC-Angriffe werden.
• Kompromittierung von Lieferanten-E-Mails: Amerikanische und europäische Unternehmen mit Lieferanten in Übersee sind typische Ziele für diese Art von BEC-Angriffen. Die Betrüger geben sich als Lieferanten aus und bitten um eine Zahlung. Unterschiedliche Zeitzonen und Sprachbarrieren tragen zur Verwirrung bei und überzeugen die Unternehmen, die dringend aussehenden betrügerischen Rechnungen zu bezahlen.
• Geschenkkarten-Betrug: Anstatt um Überweisungen zu bitten, bitten viele BEC-Betrüger um Zahlungen per Geschenkkarte, da diese Zahlungsmittel fast unmöglich zu verfolgen sind. Allerdings sind BEC-Betrügereien mit Geschenkkarten in der Regel finanziell weniger schädlich als E-Mail-Betrügereien mit Überweisungen.
• Zahlungsumleitungsbetrug: Ein Betrüger, der sich als Geschäftsführer ausgibt, kann die Finanzabteilung auffordern, eine laufende Zahlung zu stoppen und auf ein anderes Konto zu überweisen, wie es der "Wunsch des Verkäufers" bei dieser Art von Betrug ist.
• Man-in-the-Middle-Angriff (MitM): Bei einem MitM-Angriff fängt ein Hacker den Datenverkehr zwischen zwei Entitäten ab, um Informationen zu sammeln oder die Kommunikation zu manipulieren. MitM kann es BEC-Angreifern ermöglichen, Anmeldedaten für E-Mail-Konten zu stehlen, um ihre Betrugsaktion zu starten.
• Ausfüllen von Anmeldeinformationen: Wenn Angreifer gestohlene "Anmeldedaten" in ein Anmeldesystem "stopfen", in der Hoffnung, unbefugten Zugriff auf ein E-Mail-Konto zu erhalten, wird diese Technik als Credential Stuffing bezeichnet. Unternehmen, die es vermeiden, ihre Passwörter regelmäßig zu ändern, sind anfälliger für BEC-Betrügereien, die durch Credential Stuffing angeheizt werden.

Beispiele für die Kompromittierung geschäftlicher E-Mails

BEC ist ein neu auftretendes Verbrechen, das Unternehmen jeder Größe und Branche betreffen kann. Kleine und große Unternehmen müssen Vorsichtsmaßnahmen ergreifen, um das Risiko einer Kompromittierung von Geschäfts-E-Mails zu minimieren. Hier sind einige der berüchtigtsten aktuellen Beispiele für die Kompromittierung von Geschäfts-E-Mails:

• 2013-2015: Technologieführer wie Facebook und Google verloren über 120 Millionen Dollar durch einen BEC-Betrug, der den Namen eines echten Hardwareherstellers ausnutzte.
• 2015: Das IT-Unternehmen Ubiquiti verlor über 45 Millionen US-Dollar durch einen BEC-Betrug, bei dem sich Bedrohungsakteure als Verkäufer ausgaben.
• 2019: Der renommierte Automobilkonzern Toyota wurde im Laufe der Jahre von mehreren BEC-Angriffen heimgesucht. Im Jahr 2019 verlor eine europäische Tochtergesellschaft des Unternehmens fast 40 Millionen Dollar durch einen BEC-Betrug.
• 2020: Die Regierung von Puerto Rico, die weltweit Schlagzeilen macht, wurde von einem Betrüger dazu gebracht, 2,6 Millionen Dollar auf ein betrügerisches Konto zu überweisen.

Beispiel für eine kompromittierte E-Mail im Zahlungsverkehr

Sehr geehrte(r) [Ihr Name],
ich hoffe, es geht Ihnen gut. Wir haben eine dringende Zahlungsaufforderung, die Ihre sofortige Aufmerksamkeit erfordert. Unser Unternehmen hat kürzlich Dienstleistungen für Ihre Organisation erbracht, und wir haben die Zahlung für den ausstehenden Betrag noch nicht erhalten.
Daher bitten wir Sie höflich, die Zahlung so schnell wie möglich vorzunehmen, um weitere Verzögerungen zu vermeiden. Die Rechnung finden Sie im Anhang. Die Zahlungsdetails lauten wie folgt:
Name der Bank: [Name der Bank]
Kontoinhaber: [Kontoinhaber]
Kontonummer: [Kontonummer]
Swift-Code: [Swift-Code]
Fälliger Betrag: [Fälliger Betrag]
Wir würden uns freuen, wenn Sie diese Zahlung innerhalb der nächsten 24 Stunden vornehmen und uns nach erfolgter Zahlung die Bestätigungsdetails mitteilen könnten. Bei Fragen stehen wir Ihnen gerne zur Verfügung.
Vielen Dank für Ihre umgehende Bearbeitung dieser Angelegenheit.
Mit freundlichen Grüßen,
[Name]
[Titel]
[Firmenname]

Beispiel für die Kompromittierung einer legalen Geschäfts-E-Mail

Betreff: Dringende Rechtsangelegenheit – Bitte um umgehende Antwort
Sehr geehrte(r) [Ihr Name],
ich hoffe, es geht Ihnen gut. Mein Name ist John Smith und ich bin Rechtsanwalt der XYZ Corporation in einer Rechtsangelegenheit, die Ihr Unternehmen betrifft. Unser Mandant hat uns beauftragt, Sie in dieser Angelegenheit direkt zu kontaktieren.
Wir wurden darauf aufmerksam gemacht, dass es eine dringende Angelegenheit gibt, die sofort geklärt werden muss, und bitten Sie, so schnell wie möglich auf diese E-Mail zu antworten. Wir möchten außerdem einen Telefontermin vereinbaren, um die Einzelheiten des Falls zu besprechen.
Bitte beachten Sie, dass diese Mitteilung vertraulich und privilegiert ist und ohne unsere ausdrückliche schriftliche Zustimmung nicht an Dritte weitergegeben werden darf.
Vielen Dank für Ihre Aufmerksamkeit in dieser Angelegenheit.
Mit freundlichen Grüßen,
John Smith
Rechtsanwalt

Beispiel für die Kompromittierung einer Geschäfts-E-Mail durch einen CEO-Betrüger

Betreff: Dringende Anfrage – Überweisungs
Sehr geehrte(r) [Ihr Name],
ich hoffe, Sie haben einen produktiven Tag. Wie Sie wissen, befinden wir uns mitten in einem wichtigen Geschäftsabschluss, für den wir einen beträchtlichen Geldbetrag an unsere Partner im Ausland überweisen müssen. Leider hat sich die Bearbeitung der Überweisung aufgrund eines Problems mit unserem Bankensystem verzögert.
Angesichts dieser Verzögerung bitte ich Sie dringend, den Betrag von [Betrag] auf das folgende Konto [Kontodaten] zu überweisen. Bitte stellen Sie sicher, dass die Überweisung umgehend bearbeitet wird, da in dieser Angelegenheit Zeit eine entscheidende Rolle spielt.
Ich verstehe, dass dies eine ungewöhnliche Bitte ist, aber ich versichere Ihnen, dass dies ein notwendiger Schritt ist, um den Erfolg zu gewährleisten.

Das Hauptziel der Kompromittierung von Geschäfts-E-Mails verstehen

Das Hauptziel von Business Email Compromise ist es, das Opfer dazu zu verleiten, Geld zu überweisen, in der Regel per Überweisung. Einige Betrüger verlangen auch Geschenkkarten, während andere versuchen, vertrauliche Daten zu stehlen, um E-Mail-Konten zu hacken.

Obwohl das Ziel eines BEC-Betrugs fast immer finanzieller Natur ist, können Angreifer eine Kombination verschiedener Methoden einsetzen, um ihre Ziele zu erreichen, wie z. B. Malware, gefälschte Rechnungen, Identitätsdiebstahl und Spear-Phishing. Das ultimative Ziel dieser Angriffe sind Personen, die Geld überweisen können, wie Führungskräfte von Unternehmen, Finanzmanager und Kunden von Anwaltskanzleien oder Immobilienunternehmen. Auch Lieferanten sind Ziele dieser Betrugsmaschen, insbesondere bei gezielten Angriffen auf die Lieferkette.

Risiken der Kompromittierung von Geschäfts-E-Mails (BEC)

• Finanzielle Verluste: Organisationen können erhebliche finanzielle Verluste erleiden.
• Schädigung des Rufs: Geschäftspartner können das Vertrauen in ein Unternehmen verlieren, das durch einen BEC-Betrug getäuscht wurde.
• Betriebliche Verluste: Die Bezahlung eines Betrügers anstelle des Lieferanten kann zu schwerwiegenden kurz- und langfristigen Cashflow-Problemen führen.
• Compliance-Probleme: Eine Datenschutzverletzung, bei der sensible Kundendaten gestohlen werden, kann zu rechtlichen Problemen führen.

Ausgewählte Ressourcen

• Was ist endpoint detection and response (EDR)?
• Was bedeutet Managed Detection and Response (MDR)?