Üzleti levél-csalás (BEC)

Mit jelent

A BEC (Business Email Compromise) az FBI által 2013 óta önálló csalás-kategóriaként követett séma, amelyben a támadó vállalati e-mail-rendszer kompromittálásával (account takeover) vagy megtévesztő szerepfelvétellel (impersonation) pénzátutalást vagy érzékeny vállalati adatot eszközöl ki. A globális kárbecslés (FBI IC3 2023) több mint 50 milliárd USD a 2013-2023 időszakban — a BEC következetesen az egyik legmagasabb kárú online csalástípus.

Öt fő alminta (FBI taxonómia)

• CEO fraud: a vezető (CEO/CFO) e-mail-szerepében sürgős, bizalmas utalási kérés a könyvelési vagy pénzügyi munkatárshoz.
• Bogus invoice scheme (számla-csalás): ismert beszállító e-mail-szerepében módosított bankszámla-szám küldése a következő kifizetés előtt.
• Account compromise: a munkavállaló e-mail-fiókját ténylegesen kompromittálják, és onnan küldenek utalási utasítást.
• Attorney impersonation: ügyvédnek kiadva magát, érzékeny tranzakcióhoz "bizalmas és sürgős" jelleggel kér átutalást.
• Data theft: nem közvetlenül pénzátutalást, hanem munkavállalói W-2/PII-adatokat kér az HR-től — ezt azután adóvisszatérítési csalásra vagy más identitás-csalásra használják.

Technikai jegyek

• Domain-spoofing és lookalike domain: "rnicrosoft.com" "microsoft.com" helyett, módosított TLD, vagy nem-latin betűs IDN-spoofing.
• Reply-to elcsavarás: a Reply-To fejléc különbözik a From mezőtől.
• SPF / DKIM / DMARC hiba: az e-mail-hitelesítés bukik, de a vállalati mail-szerver mégis kézbesít.
• Időzítés: a támadás gyakran pénteken késő délután érkezik, vagy ünnepek előtt — sürgőséget és csökkent ellenőrzési kapacitást használ.

Megelőzés

• kötelező 4-szem-elv (két aláíró) magas összegű utalásnál;
• külön, e-mailen kívüli (telefon, ismert szám) megerősítés bankszámla-szám változásnál;
• SPF / DKIM / DMARC szigorú "reject" beállítás;
• multi-factor authentication minden e-mail-fiókon;
• csalás-tréning és teszt-kampány;
• Confirmation of Payee a banki oldalon.