Meer fraude door mensen die zich voordoen als 'de baas', zo werkt CEO-fraude
Oplichting door je tegenover werknemers van een bedrijf voor te doen als de baas: het komt steeds vaker voor, blijkt uit cijfers van onder meer de Fraudehelpdesk. Ook de FBI meldt dat. Maar hoe gaat het in zijn werk?
Beveiligingsonderzoeker Wesley Neelen van Dearbytes kan erover meepraten. Een van zijn collega's kreeg recent een opvallend mailtje, zogenaamd van de directeur van dat beveiligingsbedrijf.
"Hoi Ard, we moeten een betaling van 18.975 euro naar Engeland sturen", schreef Erik Remmelzwaal, de directeur van het bedrijf, zogenaamd aan het hoofd financiën. "Welke informatie heb je nodig om het voor elkaar te krijgen?"
"Ard had direct door dat er iets niet in de haak was", zegt Neelen. Dat is niet altijd zo. Bedrijven trappen soms in deze vorm van oplichting. Volgens de Fraudehelpdesk hebben de mails dit jaar al voor 2,5 miljoen euro aan schade gezorgd.
Zo werkt de CEO-fraude:
Wie er niet in trapt, zal dit soort mails meestal negeren. Onderzoeker Neelen niet, hij deed er juist onderzoek naar en schreef er een blog over. "We vonden het wel een interessante casus, dus we besloten erin te duiken."
Neelen en zijn collega's antwoordden op de mail en verstopten er een tracking-pixel in. Dat is een afbeelding die, wanneer ze wordt geladen, informatie doorgeeft over de computer waar dat vanaf gebeurt.
"Zo konden we zijn ip-adres achterhalen", zegt Neelen. Dat is het unieke nummer van een internetaansluiting. In veel gevallen is daar ook een indicatie van een locatie mee te achterhalen; in dit geval was dat in Nigeria.
"Het is wel mogelijk om je op internet als iemand anders voor te doen, bijvoorbeeld alsof je uit Rusland komt. Maar Nigeria is voor dit soort aanvallen niet onwaarschijnlijk." Ook duidt het ip-adres op een aansluiting bij een mobiele telecomprovider in Nigeria.
Permanent achter de pc
Het lijkt erop dat de aanvallers permanent achter hun pc zitten, zegt Neelen. Dankzij de tracking-pixel kon hij zien hoe snel de mail werd geopend en beantwoord. "Ze lazen de mail binnen zes minuten en twee minuten later was er een reactie", zegt hij.
Ze gingen vernuftig te werk. "Ze mailden natuurlijk vanaf een nepadres, maar in de tekst van de mail veranderden ze het e-mailadres bij voorgaande mails in het echte adres van onze directeur", zegt Neelen.
In andere gevallen kraken aanvallers zelfs mailboxen om in te haken op bestaande gesprekken. "Dan antwoordt er iemand op een bestaande mailwisseling dat er geld moet worden overgemaakt", zegt Neelen. Dat is nog een stuk moeilijker te herkennen.
De kwaliteit van het Nederlands in de mails verschilde. "In de eerste mail was het goed, maar daarna verslechterde het, dus mogelijk hebben ze Google Translate gebruikt."
Kijk naar inhoud, afzender en taal
Na een paar mailtjes heen en weer stopten de aanvallers met antwoorden. "We hadden een formulier gemaakt waarvan we wilden dat ze het zouden invullen, zogenaamd om een betaling te krijgen", zegt Neelen. "Helaas deden ze dat niet."
Hij geeft bedrijven als tip om hun medewerkers alert te laten zijn op vreemde mails. "Kijk naar inhoud, afzender en taalgebruik", zegt Neelen. Dat kan bijvoorbeeld door een phishing-test te houden, waarbij werknemers een nepphishingmail krijgen voorgeschoteld om te zien of ze er in trappen. "En bij twijfel, bel de afzender", zegt Neelen.
In onderstaande video geeft ethisch hacker Wesley Neelen drie tips om fraudeurs in je mailbox te herkennen.
