Ataki typu BEC polegają na precyzyjnym przygotowaniu przez przestępców wiadomości, za pomocą których próbują nakłonić pracownika do podjęcia określonych działań – najczęściej do wykonania przelewu na wskazane przez nich konto. W tym celu zbierają informacje o organizacji i jej pracownikach, szczególnie tych, zajmujących kluczowe stanowiska decyzyjne, takie jak dyrektorzy, prezesi czy główni księgowi. Dzięki zebranym informacjom, podszywają się pod nich, a ich wiadomości do złudzenia przypominają te prawdziwe. Presja czasu, wykorzystanie wizerunku przełożonego, prośby o zachowanie poufności i anonimowość – to wszystko dla niektórych pracowników może być „potwierdzeniem” polecenia zwierzchnika. Ataki typu BEC mogą wiązać się z przejęciem służbowego lub prywatnego konta e-mail, zwłaszcza gdy pracownicy korzystają z otwartych i ogólnodostępnych usług pocztowych, a to z kolei  wpływa na ich skuteczność.

Najczęściej stosowane metody w atakach typu Business Email Compromise to:

⇒ przechwycenie poczty e-mail – przestępcy uzyskują dostęp do poczty zwierzchnika i w jego imieniu wydają polecenie przesłania pieniędzy lub zaczynają korespondować z osobami, które mają taką możliwość; opcja ta jest bardzo niebezpieczna, ponieważ przestępca ma dostęp do skrzynki osoby zaatakowanej i dzięki temu może się pod nią podszywać i wyłudzać informacje, które posłużą mu do ataku,

⇒ podszywanie się pod kontrahentów  firmy,

⇒ fałszywe polecenia od wysoko postawionych pracowników (za pomocą maili, które wyglądają w sposób zbliżony do oryginału), czy też próby wyłudzenia danych poprzez podszywanie się pod prawników lub dział HR.

Ważne jest, aby odbiorca e-maila był czujny i zwracał uwagę na elementy, które wskazują na potencjalne zagrożenie. W razie wątpliwości kontakt bezpośredni z nadawcą jest konieczny. Należy sprawdzić także:

• poprawność adresu e-mail nadawcy (pamiętając jednocześnie, że ktoś mógł przejąć jego skrzynkę mailową, więc w niektórych przypadkach adres będzie się zgadzał),

• język oraz styl komunikacji,

• czy wiadomość wywiera presję na  odbiorcy do podjęcia szybkiej decyzji, np. w postaci dokonania płatności.

Jak się chronić przed atakami typu BEC – wskazówki dla pracowników

• ► Zawsze weryfikuj nagłe prośby o przelew.
• Jeśli dostaniesz e-maila od „szefa” z prośbą o pilny przelew, najpierw potwierdź to telefonicznie lub osobiście.
• ► Uważnie sprawdzaj adresy e-mail i treść wiadomości.
• Oszuści często podszywają się pod firmowe konta, zmieniając drobny szczegół w adresie (np. literówkę w domenie). W przypadku większych płatności wprowadź w firmie zasadę akceptacji przelewów przez więcej niż jedną osobę.
• ► Zwracaj uwagę na niecodzienny ton wiadomości.
• Nagła zmiana stylu pisania lub nadmiernie oficjalne prośby mogą świadczyć o próbie oszustwa.
• ► Dbaj o bezpieczeństwo swoich kont.
• Stosuj silne hasła, włącz uwierzytelnianie dwuskładnikowe (2FA) i regularnie aktualizuj oprogramowanie.
• ► Stosuj się do procedur obowiązujących w Twojej organizacji.
• Zawsze postępuj zgodnie z zasadami, jakie obowiązują w Twojej organizacji. Nie działaj w pośpiechu, nie podejmuj działań pod wpływem osób trzecich. Wszelkie nietypowe sytuacje, zgłaszaj do swojego przełożonego lub działu bezpieczeństwa.
• ► Nie ujawniaj informacji na temat swojej organizacji.
• Przestępcy często gromadzą dane o strukturze firmy, procesach księgowych czy personaliach pracowników, by stworzyć wiarygodnie wyglądające wiadomości. Unikaj publicznego udostępniania szczegółów o wewnętrznych procedurach, danych kontaktowych kluczowych osób czy strategii firmy. Nawet pozornie błahe informacje mogą pomóc oszustom przygotować atak BEC, który skutecznie wprowadzi pracowników w błąd. Dbaj o to, by komunikaty dotyczące działalności firmy trafiały wyłącznie do uprawnionych osób i nie były publikowane w miejscach ogólnodostępnych.

Jak chronić organizację przed atakami typu BEC ? - wskazówki dla administratorów i kadry zarządzającej

• ► Regularnie organizuj szkolenia, warsztaty i ćwiczenia, aby zwiększyć świadomość pracowników na temat cyberzagrożeń, w tym ataków typu BEC. Pracownicy powinni być szkoleni w rozpoznawaniu podejrzanych sygnałów oraz w podejmowaniu odpowiednich działań w przypadku podejrzeń o próby oszustwa.
•  
• ► Zadbaj o bezpieczeństwo poczty Twojej organizacji. Korzystaj z  narzędzi i rozwiązań zabezpieczających, takich jak: uwierzytelnianie dwuskładnikowe, filtrowanie e-maili, oprogramowanie antywirusowe, zapory sieciowe oraz systemy wykrywania nietypowych aktywności, aby zwiększyć odporność firmy na ataki typu BEC.
• W przypadku podmiotów publicznych zapoznaj się z zaleceniami na stronie: https://bezpiecznapoczta.cert.pl/, które pozwolą poprawnie wdrożyć mechanizmy weryfikacji nadawcy.
•  
• ►Ustal szczegółowe procedury dotyczące dokonywania przelewów i płatności. Weryfikuj każdorazowo autentyczność żądania płatności za pomocą innych kanałów komunikacyjnych, takich jak rozmowa telefoniczna z osobą składającą prośbę o płatność oraz ustal limit transakcji, powyżej którego wymagana jest akceptacja innych pracowników.
• Wprowadź proces weryfikacji każdej zmiany numeru konta (np. kontakt telefoniczny z kontrahentem).