Lừa đảo Email doanh nghiệp BEC và các giải pháp phòng tránh

Theo báo cáo từ cục điều tra liên bang (FBI), lừa đảo Email doanh nghiệp BEC đã vượt qua 12 tỷ đô la vào năm 2018. Cũng tại thời điểm này, Việt Nam trở thành điểm nóng ở khu vực châu Á với các vụ tấn công bằng hình thức BEC. Những con số này phần nào nói lên thực trạng các doanh nghiệp bị lừa đảo qua Email ngày càng nhiều với mức độ tinh vi và thiệt hại ngày càng tăng. Vậy cụ thể BEC là gì? Đối tượng tấn công của nó là ai? Và có những giải pháp phòng tránh nào?... Hãy cùng tôi giải đáp những thắc mắc qua bài viết dưới đây.

MỤC LỤC:

• Lừa đảo Email doanh nghiệp BEC là gì?
• Đối tượng của lừa đảo Email doanh nghiệp BEC
• 4 kiểu lừa đảo Email doanh nghiệp BEC thường gặp
• Cách phòng ngừa lừa đảo Email doanh nghiệp BEC

Lừa đảo Email doanh nghiệp BEC là gì?

Lừa đảo Email doanh nghiệp BEC là hình thức lừa đảo mới và cực tinh vi

Lừa đảo Email doanh nghiệp BEC hay Business Email Compromise là một hình thức lừa đảo rất tinh vi. Những kẻ tấn công sẽ lên kế hoạch mạo danh một lãnh đạo cấp cao, lợi dụng uy tín của họ để gửi Email thuyết phục nhân viên, khách hàng gửi thông tin mật hay khoản tiền lớn vào tài khoản do chúng kiểm soát.

Mục đích cuối cùng của các Hacker là chiếm đoạt tài sản nên chúng sẽ tận dụng tất cả lỗ hổng có thể có. Những kẻ tấn công sẽ dành rất nhiều thời gian để tìm hiểu về các nạn nhân, công ty, các cách thức giao dịch qua Email của họ.

Tìm hiểu thêm:

• Cách giữ Email luôn an toàn trước sự tấn công của “tin tặc”
• Cẩn thận với các chiêu trò lừa đảo qua Email phổ biến nhất hiện nay

Về mức độ tinh vi của hình thức này, tôi nghĩ cần phải nói cho bạn biết rằng lừa đảo Email doanh nghiệp BEC thường rất khó bị phát hiện bởi các giao dịch được thực hiện có vẻ rất hợp pháp. Những kẻ tấn công sẽ tìm cách để Hack được Email của các lãnh đạo cao cấp hoặc giả mạo cuộc gọi, tin nhắn để lừa nạn nhân. Điều này khiến cho việc phát hiện hay xác định hành vi lừa đảo rất khó khăn.

Đối tượng của lừa đảo Email doanh nghiệp BEC là ai?

Số lượng nạn nhân toàn cầu của hình thức lừa đảo qua Email lên tới gần 80.000 doanh nghiệp tính đến năm 2018.

Theo công bố của FBI (Mỹ), những kẻ tấn công lừa đảo qua Email sẽ nhắm vào những doanh nghiệp vừa và nhỏ hay kể cả những doanh nghiệp lớn. Như vậy, nạn nhân có thể là bất cứ doanh nghiệp nào, ở mọi lĩnh vực ngành nghề và mọi quốc gia. Đặc biệt, các doanh nghiệp Việt Nam trở thành “điểm nóng” của khu vực Châu Á bởi tính lỏng lẻo và chủ quan trong quy trình giao dịch qua Email.

Cụ thể, loại hình lừa đảo Email doanh nghiệp BEC này thường nhằm vào các lãnh đạo cấp cao của một doanh nghiệp. Bởi khi đã nắm trong tay những phương tiện của người nắm quyền, chỉ với một Email lừa đảo, chúng có thể khiến nạn nhân dễ dàng tin tưởng và chuyển tiền, thông tin mật về các địa chỉ ảo mà chúng đang kiểm soát.

Theo báo cáo của Tripwire, bạn cần phải biết bọn tội phạm lừa đảo doanh nghiệp qua Email thường thu thập các thông tin sau về nạn nhân. Bao gồm thông tin chung của doanh nghiệp từ cơ cấu tổ chức, sản phẩm dịch vụ mới, các chứng chỉ bằng sáng chế, funding, các chiến lược mở rộng thị trường đến kế hoạch du lịch từng phòng ban. Ngoài ra, chúng còn có thể biết được tên tuổi, chức danh và một vài mối quan hệ công việc của nạn nhân trong công ty.

4 kiểu lừa đảo Email doanh nghiệp BEC thường gặp

Dưới đây là 4 kiểu lừa đảo BEC mà doanh nghiệp dễ gặp phải nhất. Bởi vì những kiểu lừa đảo này không chứa bất kỳ liên kết mã độc hoặc tệp đính kèm độc hại nào, chúng sẽ dễ dàng vượt qua hàng rào kiểm duyệt cũ, lạc hậu, lỏng lẻo của doanh nghiệp:

• Giả mạo CEO
• Mạo danh luật sư
• Gửi thanh toán hóa đơn với Email đã Hack
• Giả mạo nhà cung cấp

Giả mạo CEO

Đối tượng các Hacker thường nhắm đến là lãnh đạo cấp cao của doanh nghiệp

Như đã nói ở trên, hình thức lừa đảo Email doanh nghiệp BEC này thường nhắm vào các giám đốc điều hành, lãnh đạo cấp cao. Những kẻ lừa đảo sẽ Hack Email chính của họ, ngụy tạo một yêu cầu giả gửi cho các nhân viên, khách hàng. Thường thấy nhất là các yêu cầu gửi tiền, thông tin mật như tài khoản, mật khẩu hay các thông tin giao dịch khác vào một địa chỉ chúng lập sẵn.

Mạo danh luật sư

Một kiểu lừa đảo khác cũng tinh vi không kém chính là mạo danh luật sư của chính doanh nghiệp hoặc một nhân viên ở công ty luật thuê ngoài. Những kẻ lừa đảo thông qua việc điều tra biết được những luật sư đó đang phụ trách những vấn đề quan trọng và bí mật của công ty. Nhờ đó, chúng có thể mạo danh lừa nhân viên gửi tiền tiến hành các thủ tục pháp lý như hợp đồng thuê đất, hợp đồng thương mại… Những vụ lừa đảo kiểu này thường xảy ra qua các Email hay các cuộc gọi giả mạo cuối ngày, sau khi kết thúc giờ làm việc.

Gửi thanh toán hóa đơn với Email đã Hack

Khoản tiền bị lừa đảo sẽ chuyển thẳng đến các tài khoản ngân hàng mà Hacker kiểm soát.

Theo tôi thì hình thức lừa đảo Email doanh nghiệp BEC rất khó phát hiện bởi các giao dịch thanh toán giữa doanh nghiệp với các đối tác trông rất chặt chẽ. Cụ thể, tài khoản Email của CEO hoặc nhân viên bị tấn công và sẽ được yêu cầu thanh toán hóa đơn cho các nhà cung cấp liệt kê sẵn trong danh bạ Email của họ. Tuy nhiên, khoản tiền thanh toán sau đó sẽ được gửi đến các tài khoản ngân hàng lừa đảo.

Giả mạo nhà cung cấp

Các công ty có nhà cung cấp tại nước ngoài thường là đối tượng của kẻ lừa đảo. Chúng sẽ đóng giả những nhà cung cấp, yêu cầu doanh nghiệp chuyển tiền để thanh toán hóa đơn, thanh toán chi phí phát sinh trong dịch vụ vận chuyển, kho bãi… vào những tài khoản do kẻ lừa đảo sở hữu.

Cách phòng ngừa lừa đảo Email doanh nghiệp BEC

Doanh nghiệp nên cảnh giác, tổ chức đào tạo và áp dụng công nghệ bảo vệ Email an toàn

Lừa đảo Email doanh nghiệp BEC là hình thức rất mới và tinh vi nên vẫn chưa có giải pháp nào tối ưu để phát hiện các Email lừa đảo này một cách chính xác tuyệt đối. Chính vì vậy, việc mà các doanh nghiệp cần làm ngay lúc này là phải nâng cao nhận thức của nhân viên về BEC.

Cụ thể, các doanh nghiệp phải thường xuyên tổ chức đào tạo, huấn luyện nhân sự và phổ biến về loại hình lừa đảo này. Ngoài ra, bạn phải giảm thiểu rủi ro ở mức thấp nhất bằng cách hạn chế sử dụng các mã nguồn mở. Bởi đây chính là nơi chứa rất nhiều những lỗ hổng bảo mật để Hacker có thể khai thác thu thập thông tin các nạn nhân.

Tôi sẽ gợi ý cho bạn 5 cách để phòng tránh khả năng bị lừa đảo qua Email:

• Bảo mật Email ở mức cao nhất
• Thay đổi mật khẩu Email định kỳ
• Training nhân viên về an toàn thông tin cá nhân
• Quy định về việc chuyển tiền
• Sử dụng các công nghệ bảo vệ thư điện tử

Bảo mật Email ở mức cao nhất

Giải pháp bảo mật Email ở mức cao nhất chính là việc xác thực qua Email hoặc điện thoại mỗi khi đăng nhập. Nhờ vậy, các chủ doanh nghiệp, lãnh đạo cấp cao có thể kịp thời nhận được các thông tin liên quan đến bảo mật như cảnh báo đăng nhập ở vị trí khác, thông tin giao dịch, lấy lại mật khẩu…

Thay đổi mật khẩu Email định kỳ

Thay đổi các mật khẩu Email định kỳ và thiết lập mật khẩu mạnh để đảm bảo an toàn Email.

Việc thay đổi mật khẩu Email thường xuyên sẽ giúp doanh nghiệp tránh bị theo dõi trong thời gian dài. Ngoài ra, các chuyên gia khuyến cáo rằng nên sử dụng những mật khẩu mạnh và độc nhất cho Email để giảm thiểu rủi ro bị tấn công.

Training nhân viên về an toàn thông tin cá nhân

Doanh nghiệp nên có những buổi đào tạo nhân viên về an toàn thông tin cá nhân. Những loại thông tin nào quan trọng, dễ bị lợi dụng và dễ bị đánh cắp. Cùng với đó, đưa ra nhiều trường hợp cụ thể để nhân viên có thể nhận biết được các hình thức lừa đảo Email doanh nghiệp BEC.

Quy định về việc chuyển tiền

Các doanh nghiệp phải cẩn thận hơn với các Email chuyển khoản, thanh toán bằng các thiết lập quy định ít nhất 2 chữ ký. Tức là, cần phải thiết lập các hạn mức chuyển tiền (trên 50 triệu) đồng thời với văn bản kèm chữ ký của ít nhất hai lãnh đạo cao cấp là CEO, CFO trở lên thì mới đồng ý thanh toán, chuyển khoản.

Sử dụng các công nghệ bảo vệ thư điện tử

Doanh nghiệp nên đầu tư vào các phần mềm bảo vệ Email. Các công nghệ lọc Email hiện đại thường áp dụng AI, khả năng nhận diện Email tự động để phân biệt những Email lừa đảo với Email thật. Dịch vụ bảo vệ Email SAPv2 của Mắt Bão ngoài những ưu điểm trên còn giúp ngăn ngừa 99% thư rác, mã độc và được xác thực khuyến nghị bởi Microsoft.

Tóm lại, BEC là một hình thức lừa đảo mới qua Email với rất nhiều thủ đoạn tinh vi lại khó bị phát hiện. Lừa đảo Email doanh nghiệp BEC xảy ra không chỉ với công ty vừa và nhỏ mà còn là các công ty lớn. Chính vì vậy, việc áp dụng nhiều biện pháp từ đào tạo nhân viên, thiết lập các quy định chuyển khoản cho đến sử dụng các công nghệ bảo vệ Email tiên tiến sẽ giúp doanh nghiệp giảm thiểu rủi ro bị tấn công. Mong rằng thông qua bài viết, bạn đã có được những thông tin hữu ích về hình thức lừa đảo qua Email này.

Tìm hiểu thêm:

• Cách xử lý Email lừa đảo tránh rủi ro bảo mật bạn cần biết
• Mách bạn 5 cách nhận biết Email lừa đảo có chứa mã độc​