A BBC relata que uma empresa d mídia sediada na Escócia está processando uma ex-funcionária que caiu em um esquema de Comprometimento de E-mail Empresarial (BEC na sigla em inglês). No esquema, a colaboradora recebeu e-mails que pareciam ser do diretor administrativo solicitando transferências eletrônicas. A funcionária trabalhou com seu gerente de linha no primeiro pagamento e depois fez três pagamentos subsequentes enquanto o gerente direto estava de férias.
No total, £193.250 foram transferidos para os golpistas. A empresa recuperou £85.000 do seu banco e está processando a funcionária, que já foi demitida pelo incidente, pelo saldo remanescente de £108.000, porque ela ignorou um aviso de segurança padrão do banco de dados sobre fraudes com transferências eletrônicas. É hora de parar de culpar as vítimas de golpes de e-mail e, em vez disso, colocar em prática treinamentos, controles de segurança e processos para evitar a ocorrência de golpes de BEC.
Treine seus colaboradores – de graça
A funcionária, nesse caso, afirma que nunca recebeu treinamento da empresa sobre como parar as fraudes on-line. Como muitos colaboradores, quando uma solicitação de e-mail parece vir de um executivo, o destinatário geralmente está tão focado em parecer responsivo que não percebe que o e-mail é uma falsificação. É importante garantir que seus funcionários estejam cientes desses ataques e possam procurar sinais de que o e-mail é uma fraude. Treine-os para não responder, não agir de forma aberta, não abrir um anexo ou clicar em um link quando um e-mail for suspeito ou inesperado.
A simulação gratuita de ‘phishing’ e o treinamento de usuários estão disponíveis no Trend Micro Phish Insight. Com ele, você pode enviar e-mails de teste de ‘phishing’ para seus usuários, recompensar / reconhecer funcionários que identificam os e-mails como suspeitos e oferecer treinamento para aqueles que mais precisam deles. O ‘Phish Insight é gratuito para todas as organizações.
Evitar golpes de BEC com segurança de e-mail
Normalmente, os e-mails de BEC não têm um anexo suspeito ou URLs maliciosas e dependem exclusivamente da engenharia social. Isso dificulta a detecção sem controles de segurança projetados especificamente para capturar esses ataques. O ‘Cloud App Security’ para Office 365 usa dois métodos de inteligência artificial (IA) para detectar golpes BEC. Primeiro, um sistema de regras especializado procura engenharia social e comportamentos de invasores. Entre as regras está uma que procura por correspondências dos nomes de usuários de alto perfil ao nome de exibição do remetente quando o e-mail vem de um domínio de conta de e-mail gratuito. Um modelo de machine learning decide a melhor maneira de pesar e aplicar todas as regras para a detecção mais precisa.
O ‘Writing Style DNA’ é empregado para identificar o mais difícil para detectar tentativas de representação. O sistema cria um modelo de IA do estilo de escrita de usuários de alto perfil, como executivos. O modelo é criado pela extração de metadados de e-mails enviados anteriormente. Quando um e-mail chega com um nome correspondente ou semelhante a um usuário de alto perfil, e ele ainda não foi descartado pelo sistema de regras do especialista, o estilo da escrita no e-mail é comparado ao modelo de IA para esse usuário de alto perfil. Você pode ver como funciona neste pequeno vídeo.
Controles de Processo
Além do treinamento do usuário e dos controles de segurança, as organizações também devem examinar os procedimentos de transferência eletrônica e garantir que duas aprovações sejam necessárias. Juntamente com treinamento de usuários, controles de segurança e controles de processo, é possível interromper os US$ 12 bilhões em perdas para golpes de BEC.
Aqui pode ser acessado o conteúdo direto no blog da Trend Micro.
*Chris Taylor é diretor de Marketing de Produto da Trend Micro
