Business E-Mail Compromise (BEC)

Der Angreifer verschafft sich bei einem Business E-Mail Compromise, oder kurz BEC, zunächst Zugang zu einem E-Mail-Konto des Unternehmens. Um das Unternehmen, Kunden oder Mitarbeiter zu täuschen und zu betrügen, agiert er mit der Identität des eigentlichen Kontoinhabers. In anderen Fällen erstellt der Angreifer einfach ein E-Mail-Konto, welches einer regulären Firmenadresse sehr ähnelt, um die Opfer zu täuschen. BEC werden auch als Man-in-the-E-Mail-Attacken bezeichnet.

Bei einem BEC-Exploit verwendet der Angreifer in vielen Fällen eine Identität von einem Anwender aus dem Unternehmen, um eine weitere Person dazu zu veranlassen, Geld auf ein bestimmtes Konto zu transferieren. Dabei versuchen die Angreifer sehr hochrangige Mitarbeiter des Unternehmens anzugreifen, mit der sie als Absendeadresse dann die gewünschte Wirkung bei anderen Mitarbeitern des Unternehmens leichter erreichten. Daher ist in diesem Zusammenhang häufig auch von CEO Fraud die Rede. An die Identität beziehungsweise das E-Mail-Konto gelangen die Angreifer auf unterschiedlichen Wegen, etwa per Social Engineering oder via Malware. Häufig sind Unternehmen ein Angriffsziel, die internationale Geschäftsbeziehungen pflegen und dementsprechende finanzielle Transaktionen vornehmen.

Eine ganz typische Vorgehensweise der Cyberkriminellen ist, eine offiziell aussehende E-Mail-Nachricht an die Buchhaltung eines Unternehmens zu schicken. Typischerweise wird in dieser Nachricht darauf hingewiesen, dass es sich um eine zeitkritische, vertrauliche Angelegenheit handelt. Diese würde eine schnellstmögliche Zahlung auf das Bankkonto eines Kunden oder eines Lieferanten erfordern. Dabei hofft der Angreifer, dass der ahnungslose Empfänger in der Buchhaltung davon ausgeht, dass alles seine Richtigkeit hat und er im besten Sinne des Unternehmens handelt. Entsprechend wohl formuliert sind die häufig ausgefeilten Angriffe.

Der eigentliche Betrug oder Täuschungsvorgang kann auf vielfältige Weise erfolgen:

• Beim Betrug in Sachen Rechnungen, etwa von Kunden des Unternehmens, werden per regulärer E-Mail-Adresse Änderungen der Zahlungsinformationen an diese versendet, um Transaktionen auf das Konto der Angreifer auszulösen.
• Beim CEO-Betrug gibt der Angreifer vor, zur Geschäftsführung zu gehören, und versucht somit kaufmännische Abteilung, Buchhaltung oder Personalabteilung zu einer bestimmten Zahlung zu veranlassen.
• Mit einem einfachen Mitarbeiter- oder Sachbearbeiter-E-Mail-Konto werden beispielsweise Rechnungen an Kunden oder Wiederverkäufer verschickt.
• Mit Hilfe einer gekaperten E-Mail-Adresse eines Anwalts wird versucht, entsprechend Druck auf die Dringlichkeit von Zahlungen ausüben, etwa mit Hinweis auf zeitkritische Fristen.

Mit einem gekaperten Account eines Mitarbeiters der Personalabteilung versuchen die Cyberkriminellen darüber hinaus, weitere Informationen zur späteren Verwendung auszuspionieren. Die wirksamste Mittel gegen BEC und CEO Fraud ist die Schulung von Mitarbeitern hinsichtlich der Aufmerksamkeit im Hinblick auf die kleinsten Unregelmäßigkeiten in Sachen Zahlungsinformationen und E-Mail-Kommunikation.