CEO-fraude is een oplichtingsmethode die gericht is op grote bedrijven en organisaties en gebruikmaakt van social engineering-technieken om menselijk gedrag en emoties te manipuleren. Oplichters doen zich voor als de CEO, de algemeen directeur, of een andere leidinggevende van een bedrijf om geld afhandig te maken. Vaak ontvangt een medewerker met betaalbevoegdheid een e-mail van de 'baas' waarin wordt gevraagd om geld over te maken, terwijl dit in werkelijkheid een cybercrimineel is.
CEO-fraude en BEC-fraude
CEO-fraude is een bekende vorm van BEC-fraude. BEC staat voor Business E-mail Compromise en omvat een breed scala aan oplichtingstechnieken, waaronder het imiteren van stemmen via telefonische communicatie en het gebruik van gehackte bedrijfsaccounts om betalingen te stelen of financiële gegevens te verkrijgen. De impact van BEC-fraude kan verwoestend zijn, met financiële verliezen, reputatieschade en verlies van vertrouwen bij klanten en zakenpartners als gevolg.
Hoe werkt CEO-fraude?
CEO-fraude start meestal met een valse e-mail, uit naam van een directeur of bestuurder van de organisatie. Zij vragen een financieel- of administratief medewerker met spoed een groot bedrag over te maken, meestal naar het buitenland. Als de medewerker het niet vertrouwt, volgt vaak een telefoongesprek. Hiervoor roepen de criminelen een niet-bestaande derde partij in het leven, een zogenaamd advocatenkantoor. Deze telefoontjes lijken zo betrouwbaar dat de medewerker, volkomen te goeder trouw, vaak alsnog het gevraagde bedrag overmaakt.
Het kan ook zijn dat cybercriminelen het echte domein nadoen omdat ze bijvoorbeeld toegang hebben gekregen tot het e-mailaccount van een medewerker of de directie. Dit staat bekend als spoofing van domeinnamen. Dit is mogelijk wanneer de organisatie de open standaarden voor e-mail niet geïmplementeerd heeft. Zie ook deze case.
Dit is extra gevaarlijk, omdat de criminelen op deze manier weten hoe er wordt gecommuniceerd binnen de organisatie en iemand kunnen targetten die betaalbevoegd is.
Hoe kun je CEO-fraude herkennen?
Het afzenderadres van e-mails die verzoeken om geld over te maken klopt vaak niet, maar vertoont gedeeltelijke overeenkomsten.
Er wordt vrijwel altijd tijdsdruk toegepast, bijvoorbeeld met zinnen als 'Gelieve vandaag over te maken, spoed gewenst'.
Er wordt nadruk gelegd op vertrouwelijkheid.
Degene die de e-mail ontvangt, zoals een medewerker of directielid, is vaak gemachtigd om betalingen te verrichten.
CEO-fraude voorbeelden
Een bekend voorbeeld van CEO-fraude is de Pathé-zaak uit 2018. Oplichters deden zich voor als de directeuren van het Franse hoofdkantoor en verzonden e-mails naar de Nederlandse directie, onder andere met het verzoek om geld over te maken om een overname in het buitenland te bekostigen. Het ging dus niet om medewerkers die een mail kregen, maar om de directie zelf. Uiteindelijk is er voor 19 miljoen euro aan criminelen overgemaakt. In het geval van de Pathé moest de overdracht ‘strikt vertrouwelijk’ blijven. Het is het grootste geval uit de Nederlandse geschiedenis, maar zeker niet het laatste. Afgelopen jaren werden diverse overheden, waaronder gemeenten, doelwit van deze vorm van cybercriminaliteit.
Hoe kun je CEO-fraude voorkomen?
Pas de open beveiligingsstandaarden voor websites en mail toe
Om spoofing van een domein tegen te gaan zijn er beveilgingsstandaarden ontwikkeld die je op de website en mailservers kunt implementeren. Op de website internet.nl kun je controleren of deze standaarden worden toegepast op jouw domeinnaam. Wil je deze standaarden toepassen op jouw domeinnaam en e-mailservice, dan kun je het best contact opnemen met je internetserviceprovider, mailprovider of systeembeheerder.
Stel Multi-Factor Authenticatie verplicht
Multi-Factor Authenticatie (MFA) voegt een extra beveiligingslaag toe aan het inlogproces. Zelfs als de inloggegevens van een account in handen zijn van cybercriminelen, blijft het voor een aanvaller moeilijk om daadwerkelijk toegang te verkrijgen. Zorg ervoor dat MFA een vereiste is voor alle zakelijke accounts.
Implementeer het vierogenprincipe
Het vierogenprincipe is een effectieve manier om fouten en frauduleuze handelingen te voorkomen. Dit principe houdt in dat alle betalingsverzoeken en facturen boven een bepaald bedrag door ten minste twee verschillende medewerkers moeten worden goedgekeurd.
Verhoog de waakzaamheid tijdens vakantieperioden
Criminelen zijn zich ervan bewust dat de bezetting binnen organisaties lager is tijdens vakanties en weekenden. Deze perioden zijn voor hen dan ook ideale momenten om toe te slaan. Het is daarom belangrijk om extra alert te zijn op ongebruikelijke verzoeken tijdens deze momenten.
Organiseer een beveiligingsaudit
Een proactieve benadering kan veel problemen voorkomen. Het organiseren van een interne beveiligingsaudit kan inzicht geven in de digitale veiligheid van je organisatie.
Veel bedrijven kiezen ervoor om zelf een nep-phishingmail te versturen. Dit test de alertheid van medewerkers op frauduleuze e-mails.
Medewerkers die in de val trappen, kunnen vervolgens een gerichte training krijgen over digitale veiligheid en het herkennen van phishingpogingen.
SIDN Merkbewaking
SIDN Merkbewaking is een monitoringservice met een persoonlijk dashboard die je direct waarschuwt wanneer een domeinnaam wordt geregistreerd die lijkt op jouw merk. Deze snelle signalering stelt je in staat om direct actie te ondernemen, waardoor je CEO-fraude, domeinnaamfraude, factuurfraude, typosquatting of identiteitsfraude kunt voorkomen en reputatieschade en hoge kosten kunt vermijden.