Definindo e descrevendo o impacto do compromisso de e-mail comercial

Business Email Compromise/Email Account Compromise (BEC/EAC) is a sophisticated scam that targets both businesses and individuals who perform legitimate transfer-of-funds requests. The scam is frequently carried out when a subject compromises legitimate business or personal email accounts through social engineering or computer intrusion to conduct unauthorized transfers of funds. Between June 2016, and July 2019, more than $26B in exposed dollar losses due to BEC/EAC were reported to the Federal Bureau of Investigation (FBI) Internet Crime Complaint Center (IC3).

en flag
nl flag
fr flag
de flag
pt flag
es flag

Anúncio do Serviço Público do FBI (I-091019-PSA)

Compromisso de e-mail comercial: o esquema de US$26 bilhões

Definição

Compromisso de Email Empresarial (BEC/EAC) é um esquema sofisticado que tem como alvo empresas e indivíduos que realizam solicitações legítimas de transferência de fundos.

O golpe é freqüentemente realizado quando um assunto compromete contas de e-mail pessoais legítimas por meio de engenharia social ou invasão de computador para realizar transferências não autorizadas de fundos.

O esquema nem sempre está associado a uma solicitação de transferência de fundos. Uma variação envolve comprometer contas de e-mail corporativo legítimas e solicitar formulários de Informações Pessoais Identificáveis ou de Declaração de Salário e Imposto (W-2) dos funcionários. (1)

Dados estatísticos

O esquema BEC/EAC continua a crescer e evoluir, visando transações pessoais e pequenas, médias e grandes empresas. Entre maio de 2018 e julho de 2019, houve um aumento de 100% nas perdas expostas globais identificadas. (2) O aumento também se deve, em parte, à maior conscientização sobre o golpe, o que incentiva a apresentação de relatórios ao IC3 e aos parceiros internacionais e financeiros. O golpe foi relatado em todos os 50 estados e 177 países. Transferências fraudulentas foram enviadas para pelo menos 140 países.

Com base nos dados financeiros, os bancos localizados na China e Hong Kong continuam a ser os principais destinos de fundos fraudulentos. No entanto, o Federal Bureau of Investigation registou um aumento das transferências fraudulentas enviadas para o Reino Unido, México e Turquia.

As seguintes estatísticas BEC/EAC foram comunicadas ao IC3 e são derivadas de várias fontes, incluindo dados de reclamações de aplicação da lei e relatórios de instituições financeiras entre outubro de 2013 e julho de 2019.

As seguintes estatísticas foram relatadas em queixas de vítimas ao IC3 entre junho de 2016 e julho de 2019:

Incidentes nacionais e internacionais: 166.349

Perda interna e internacional em dólares expostos: $26,201,775,589

As seguintes estatísticas BEC/EAC foram relatadas em queixas de vítimas ao IC3 entre outubro de 2013 e julho de 2019:

Total de vítimas dos EUA: 69.384

Total de perdas em dólares expostos aos EUA: $10,135,319,091

Total de vítimas não americanas: 3.624

Total N0n-EUA perda em dólares expostos: $1,053,331,166

As seguintes estatísticas foram relatadas em queixas de vítimas ao IC3 entre junho de 2016 e julho de 2019:

Total de beneficiários financeiros dos EUA: 32.367

Total de perdas em dólares expostos ao destinatário financeiro dos EUA: US$3.543,308.220

Total de beneficiários financeiros fora dos EUA: 14.719

Total de perdas em dólares expostas por beneficiários financeiros de fora dos EUA: $4.843.767.489

BEC e desvio de folha de pagamento

O IC3 recebeu um número crescente de queixas da BEC relativas ao desvio de fundos de folha de pagamento. As reclamações indicam que o departamento de recursos humanos ou de folha de pagamento de uma empresa recebe e-mails falsificados que parecem ser de funcionários que solicitam uma alteração em sua conta de depósito direto. Isso é diferente do esquema de desvio de folha de pagamento em que o sujeito ganha acesso à conta de depósito direto de um funcionário e altera o encaminhamento para outra conta. (3)

Em um exemplo típico, os representantes de RH ou de folha de pagamento receberam e-mails que pareciam ser de funcionários solicitando atualizar suas informações de depósito direto para o período de pagamento atual. As novas informações de depósito direto fornecidas aos representantes de RH ou de folha de pagamento geralmente levam a uma conta com cartão pré-pago.

Algumas empresas relataram receber e-mails de phishing antes de receber solicitações de alterações em contas de depósito direto. Nesses casos, vários funcionários podem receber o mesmo e-mail que contém uma página de login falsificada para um host de email. Os funcionários inserem seus nomes de usuário e senhas na página de login falsificada, o que permite que o sujeito reúna e use credenciais de funcionários para acessar as informações pessoais dos funcionários. Isso faz com que os pedidos de depósito direto pareçam legítimos.

Esquemas de desvio de folha de pagamento que incluem um evento de intrusão foram relatados ao IC3 por vários anos. Só recentemente, no entanto, estes regimes foram directamente ligados aos intervenientes da BEC através de queixas do IC3.

Um total de 1.053 reclamações relatando esta evolução da BEC do esquema de desvio de folha de pagamento foram arquivadas no IC3 entre 1º de janeiro de 2018 e 30 de junho de 2019, com uma perda total relatada de US$8.333.354. A perda média de dólar relatada em uma queixa foi de US $7.904. A perda em dólares dos pedidos de alteração de depósitos diretos aumentou mais de 815% entre 1º de janeiro de 2018 e 30 de junho de 2019, pois houve relato mínimo desse esquema nas reclamações do IC3 antes de janeiro de 2018.

Sugestões de proteção

Os funcionários devem ser educados e alertados para este esquema. O treinamento deve incluir estratégias preventivas e medidas reativas caso sejam vitimizadas. Entre outras etapas, os funcionários devem ser informados para:

Use canais secundários ou autenticação de dois fatores para verificar solicitações de alterações nas informações da conta.

Certifique-se de que a URL nos e-mails esteja associada à empresa da qual afirma ser.

Esteja alerta para hiperlinks que podem conter erros ortográficos do nome de domínio real.

Abster-se de fornecer credenciais de login ou PII em resposta a quaisquer e-mails.

Monitorizar regularmente as suas contas financeiras pessoais relativamente a irregularidades, tais como depósitos em falta.

Mantenha todos os patches de software e todos os sistemas atualizados.

Verifique o endereço de e-mail usado para enviar e-mails, especialmente ao usar um dispositivo móvel ou portátil, garantindo que o endereço de e-mail do remetente parece corresponder a quem ele vem.

Verifique se as configurações que o computador dos funcionários está habilitado para permitir que extensões de e-mail completas sejam visualizadas.

Se você descobrir que é vítima de um incidente fraudulento, entre em contato imediatamente com sua instituição financeira para solicitar uma retirada de fundos e seu empregador para relatar irregularidades com depósitos de folha de pagamento.

Assim que possível, apresente uma reclamação independentemente do valor com www.ic3.gov ou, para as vítimas do BEC/EAC, Bec.ic3.gov.

(1) Referência PSA 1-022118-PSA Aumento em Campanhas de Phishing W-2

(2) A perda do dólar exposto inclui perdas reais e tentadas em dólares dos Estados Unidos

(3) Referência PSA I-091818-PSA cibercriminosos utilizam técnicas de engenharia social para obter credenciais de funcionários para conduzir desvio de folha de pagamento

Leia o alerta completo no Business Email Compromisso: O esquema de US$26 bilhões

Leitura adicional

Centro de Reclamações de Crime da Internet do Bureau Federal of Investigation (IC3)

FBI destaca a ameaça de ransomware para empresas dos EUA

Fonte: ComplexDiscovery

Compartilhar é cuidar? ayfie Grupo Listas no Mercado Merkur da Bolsa de Valores de Oslo

According to Johannes Stiehler, CEO of ayfie Group, in a July...

XDD adquire Anexsys

According to David Moran, XDD President and COO, “Complementing our recent...

Falta alguma coisa? Modelagem de tópicos em eDiscovery

The basic idea behind topic modeling, according to eDiscovery expert and...

Mesclagem global HayStackID e NightOwl

According to today's announcement, the NightOwl merger is HaystackID's fourth major...

A Running List: Top 100+ eDiscovery Providers

Based on a compilation of research from analyst firms and industry...

Guia de Compradores de Sistemas de Disclosure — Edição 2020 (Andrew Haslam)

Authored by industry expert Andrew Haslam, the eDisclosure Buyers Guide continues...

A Corrida para a Linha de Partida? Anúncios recentes de revisão remota segura

Not all secure remote review offerings are equal as the apparent...

Ativando a Descoberta Eletrônica Remota? Um instantâneo de DAaS

Desktop as a Service (DaaS) providers are becoming important contributors to...

Para casa ou para fora? Considerações de preço e dimensionamento do mercado de coleta de eDiscovery

One of the key home (onsite) or away (remote) decisions that...

Revisões e decisões? Novas considerações sobre análises remotas seguras de eDiscovery

One of the key revision and decision areas that business, legal,...

Uma visão macro do tamanho do mercado de descoberta eletrônica passado e projetado de 2012 a 2024

From a macro look at past estimations of eDiscovery market size...

Um Mashup de tamanho de mercado de eDiscovery: 2019-2024 Visão geral de software e serviços em todo o mundo

While the Compound Annual Growth Rate (CAGR) for worldwide eDiscovery software...

Negócios como incomuns? Dezoito observações sobre a confiança dos negócios de eDiscovery no verão de 2020

Based on the aggregate results of nineteen past eDiscovery Business Confidence...

Uma preocupação crescente? Restrições orçamentárias e o negócio de eDiscovery

In the summer of 2020, 56% of respondents viewed budgetary constraints...

Uma Mudança no Tempo? Métricas operacionais de eDiscovery no verão de 2020

In the summer of 2020, 91 eDiscovery Business Confidence Survey participants...

Resultados da Pesquisa de Confiança de Negócios eDiscovery — Verão de 2020

This is the nineteenth quarterly eDiscovery Business Confidence Survey conducted by...

Compartilhar é cuidar? ayfie Grupo Listas no Mercado Merkur da Bolsa de Valores de Oslo

According to Johannes Stiehler, CEO of ayfie Group, in a July...

XDD adquire Anexsys

According to David Moran, XDD President and COO, “Complementing our recent...

Mesclagem global HayStackID e NightOwl

According to today's announcement, the NightOwl merger is HaystackID's fourth major...

Mitratech adquire Tracker Corp

The acquisition supports Mitratech’s mission to provide legal and compliance solutions...

Cinco grandes leituras sobre eDiscovery em julho de 2020

From business confidence and operational metrics to data protection and privacy...

Cinco grandes leituras sobre eDiscovery em junho de 2020

From collection market size updates to cloud outsourcing guidelines, the June...

Cinco grandes leituras sobre eDiscovery em maio de 2020

From review market sizing revisions to pandemeconomic pricing, the May 2020...

Cinco grandes leituras sobre eDiscovery de abril de 2020

From business confidence to the boom of Zoom, the April 2020...