Secondo l’FBI, sono stati segnalate truffe BEC in oltre un centinaio di Paesi evidenziando un aumento marcato del 2,370 % nelle perdite esposte individuate tra gennaio 2015 e dicembre 2016. Non sorprende, poiché le truffe BEC rappresentano per i cybercriminali ciò che i furti sono per i criminali o offline. Le truffe BEC sono rapide, richiedono pochissimo scouting e possono rendere prodotti elevati a seconda dell’obiettivo, come evidenziato dalle perdite registrate pari a 5 miliardi di dollari.
Prevediamo che gli incidenti di tipo BEC si moltiplicheranno nel 2018 portando a perdite totali per 9 miliardi di dollari.* Questo aumento previsto nelle perdite segnalate sarà determinato in parte da una crescente consapevolezza rispetto alle truffe BEC e alla tattica usata portando a una migliore identificazione e maggiori segnalazioni delle truffe. Principalmente dipenderà dal modo in cui le truffe BEC sfrutteranno gli approcci phishing che si sono dimostrati nuovamente efficaci. Continueremo a vedere truffe BEC in cui gli aggressori si spacceranno per dirigenti in modo da ottenere somme di denaro. Si è potuto osservare nell’aumento dei tentativi di attacchi BEC che coinvolgono frodi CEO. È anche interessante notare che invece di installare keylogger, gli scammer BEC si stanno orientando sui PDF e siti phishing che sono più economici dei keylogger con servizi di criptazione. Con il phishing possono ancora compromettere gli account e possono farlo a un costo inferiore.
La semplicità con cui è possibile conoscere la gerarchia di un’organizzazione target (che può persino essere disponibile al pubblico su siti web e social media societari) e la brevità delle e-mail consentono agli scam BEC di essere uno stratagemma per attrarre denaro. Tuttavia, esiste un’altra minaccia per le imprese, sempre con mire economiche, che ci si aspetta venga ancora utilizzata dai cybercriminali in particolare da quelli che desiderano mettere a segno una truffa imponente: Business Process Compromise (BPC). Grazie al BPC i cybercriminali imparano i processi interni dell’organizzazione, in particolare quelli del reparto finanziario allo scopo di modi carli (possibilmente tramite le vulnerabilità della catena di fornitura societaria) e colpire così il bersaglio. Tuttavia, dato che ciò richiede una pianificazione a lungo termine e maggiore lavoro, è meno probabile che il BPC si imponga nel 2018 a differenza del BEC, molto più semplice.
L’attacco BEC può essere contrastato attivando la formazione dei dipendenti in quanto si basa sull’ingegnerizzazione sociale. Le società dovrebbero implementare rigidi protocolli sui processi interni, in particolare quando eseguono delle transazioni. Le piccole e medie imprese, così come quelle di maggiori dimensioni, dovrebbero utilizzare verifiche multiple per cui viene definito un altro canale di comunicazione stabilito, come una telefonata, a disposizione per effettuare un doppio controllo. È probabile che le soluzioni web e gateway che forniscono un rilevamento accurato delle tattiche di ingegnerizzazione sociale e i comportamenti contraffatti siano in grado di bloccare le minacce BEC.
* la cifra 9 miliardi di dollari si basa sul calcolo della media mensile di perdite riportate da giugno a dicembre 2016, moltiplicata per 12. Si presume che vi sia una crescita piatta degli incidenti e delle vittime legate al BEC.
Fonte: Trend Micro
