Απάτες τύπου BEC: Πώς χάνονται εκατομμύρια από επιχειρήσεις – Τι πρέπει να προσέχουν οι μικρομεσαίοι

Το ηλεκτρονική απάτη δεν στοχεύει πλέον μόνο σε περίπλοκα συστήματα τραπεζών ή σε απλούς, ανυποψίαστους καταναλωτές. Τα τελευταία χρόνια, η μεγαλύτερη «αιμορραγία» κεφαλαίων παγκοσμίως σημειώνεται μέσα από μια εξαιρετικά εκλεπτυσμένη μέθοδο που ονομάζεται Business Email Compromise (BEC) ή, στα ελληνικά, «Απάτη του Τιμολογίου» και «Απάτη του Διευθύνοντος Συμβούλου».

Σύμφωνα με τα επίσημα στοιχεία των διεθνών διωκτικών αρχών, όπως το FBI, οι απάτες τύπου BEC αποτελούν την πιο κερδοφόρα βιομηχανία για τους κυβερνοεγκληματίες, με τις ετήσιες απώλειες να αγγίζουν δισεκατομμύρια ευρώ παγκοσμίως. Στην Ελλάδα, το φαινόμενο πλήττει με αυξανόμενη ένταση τις μικρομεσαίες επιχειρήσεις (ΜμΕ), οι οποίες συχνά στερούνται των εξειδικευμένων συστημάτων ασφαλείας που διαθέτουν οι πολυεθνικοί κολοσσοί.

Η υπόθεση που συγκλόνισε την εγχώρια και διεθνή ναυτιλιακή κοινότητα αποτελεί το πιο τρανταχτό —και ταυτόχρονα εφιαλτικό— παράδειγμα για το πόσο ευάλωτος μπορεί να αποδειχθεί ένας οργανισμός, ακόμη και όταν διαχειρίζεται κεφάλαια εκατομμυρίων. Η συγκεκριμένη απάτη τύπου BEC σε βάρος γνωστής εφοπλίστριας δεν βασίστηκε σε κάποια χολιγουντιανή εισβολή στα συστήματά της, αλλά σε μια αθόρυβη, μεθοδική και απόλυτα ψυχολογική επιχείρηση.

Το χρονικό της απάτης των 4 εκατομμυρίων ευρώ ξεδιπλώνει τον απόλυτο οδηγό για το πώς λειτουργούν τα σύγχρονα ψηφιακά δίκτυα εγκληματιών.

Τι είναι η απάτη BEC και πώς λειτουργεί;

Η φιλοσοφία της απάτης BEC δεν βασίζεται στη χρήση κάποιου κακόβουλου λογισμικού (malware) που θα «ρίξει» τα συστήματα μιας εταιρείας, αλλά στην κοινωνική μηχανική (social engineering). Οι δράστες εκμεταλλεύονται τον ανθρώπινο παράγοντα: την εμπιστοσύνη, τη βιασύνη και την απροσεξία.

Η διαδικασία εξελίσσεται συνήθως σε τρία στάδια:

• Η Υποκλοπή: Οι χάκερ αποκτούν πρόσβαση στο εταιρικό email ενός στελέχους (συνήθως από το λογιστήριο ή τη διοίκηση) ή δημιουργούν ένα πανομοιότυπο email που διαφέρει ελάχιστα από το πραγματικό (π.χ., αντί για company.com χρησιμοποιούν το companysecure.com).

• Η Παρακολούθηση: Παρακολουθούν σιωπηρά την αλληλογραφία για εβδομάδες. Μαθαίνουν τους προμηθευτές, τις εκκρεμείς πληρωμές και το ύφος επικοινωνίας της εταιρείας.

• Το Κτύπημα: Τη στιγμή που αναμένεται μια μεγάλη πληρωμή, στέλνουν ένα email υποδυόμενοι τον προμηθευτή ή τον Γενικό Διευθυντή. Με το πρόσχημα ενός «έκτακτου φορολογικού ελέγχου» ή μιας «αλλαγής τραπεζικού συστήματος», ζητούν η κατάθεση των χρημάτων να γίνει σε έναν νέο τραπεζικό λογαριασμό (ο οποίος ανήκει στους απατεώνες).

Όταν η επιχείρηση αντιληφθεί ότι ο πραγματικός προμηθευτής δεν έλαβε ποτέ τα χρήματα, είναι πλέον αργά. Τα ποσά έχουν κάνει ήδη «φτερά» προς λογαριασμούς του εξωτερικού και η ανάκτησή τους είναι εξαιρετικά δύσκολη.

Γιατί βρίσκονται στο «στόχαστρο» οι Μικρομεσαίες Επιχειρήσεις;

Υπάρχει η λανθασμένη εντύπωση ότι οι κυβερνοεγκληματίες ασχολούνται μόνο με μεγάλους οργανισμούς. Στην πραγματικότητα, οι μικρομεσαίες επιχειρήσεις αποτελούν τον ιδανικό στόχο για τρεις βασικούς λόγους:

• Έλλειψη εκπαίδευσης του προσωπικού: Οι υπάλληλοι σε μια ΜμΕ συχνά εκτελούν πολλαπλούς ρόλους και δεν έχουν εκπαιδευτεί να αναγνωρίζουν τα «σημάδια» μιας ψηφιακής απάτης.

• Χαλαρές διαδικασίες ελέγχου: Σε πολλές ελληνικές επιχειρήσεις, μια πληρωμή μπορεί να εγκριθεί απλώς με ένα email, χωρίς να απαιτείται διπλή έγκριση ή προφορική επιβεβαίωση.

• Περιορισμένοι πόροι για Cyber Security: Η θωράκιση των συστημάτων πληροφορικής θεωρείται συχνά κόστος και όχι επένδυση, αφήνοντας τα εταιρικά email εκτεθειμένα.

Τι πρέπει να προσέχετε

Η πρόληψη είναι η μοναδική αποτελεσματική άμυνα απέναντι στο BEC. Κάθε επιχείρηση οφείλει να εντάξει στην καθημερινότητά της τους εξής βασικούς κανόνες:

• Δικλείδα ασφαλείας «TwoFactor Authentication» (2FA): Ενεργοποιήστε οπωσδήποτε τον έλεγχο ταυτότητας δύο παραγόντων σε όλα τα εταιρικά email. Ακόμα κι αν οι χάκερ μάθουν τον κωδικό πρόσβασης, δεν θα μπορούν να μπουν στον λογαριασμό χωρίς τον κωδικό που έρχεται στο κινητό σας.

• Η παράδοση της «τηλεφωνικής επιβεβαίωσης»: Όταν ένας προμηθευτής σάς ενημερώνει μέσω email για αλλαγή του τραπεζικού του λογαριασμού (IBAN), μην απαντάτε στο ίδιο email. Καλέστε τον αμέσως στο τηλέφωνο που γνωρίζετε ήδη (και όχι σε αυτό που αναγράφεται στο ύποπτο email) για να επιβεβαιώσετε προφορικά την αλλαγή.

• Προσοχή στις λεπτομέρειες των διευθύνσεων: Ελέγχετε σχολαστικά το όνομα του αποστολέα. Ένα επιπλέον γράμμα ή μια τελεία στη διεύθυνση του email μπορεί να κρύβει μια καλοστημένη παγίδα.

• Θέσπιση πρωτοκόλλου πληρωμών: Ορίστε ότι καμία πληρωμή άνω ενός συγκεκριμένου ποσού δεν εκτελείται χωρίς την έγκριση δύο διαφορετικών προσώπων.

Το ψηφιακό επιχειρείν προσφέρει τεράστιες ευκολίες, αλλά απαιτεί και αντανακλαστικά. Στην εποχή του Business Email Compromise, η υπερβολική κακόπιστη περιέργεια και ο σχολαστικός έλεγχος δεν είναι γραφειοκρατία — είναι η ασπίδα που προστατεύει τη βιωσιμότητα της επιχείρησής σας.