Sicherer Zahlungsverkehr in Zeiten von Social Engineering: So geschickt machen Betrüger Mitarbeiter zu Mittätern!

Transkript

1 Start Sicherer Zahlungsverkehr in Zeiten von Social Engineering: So geschickt machen Betrüger Mitarbeiter zu Mittätern! 2016 Glossary

2 Betrugsformen analog / digital Cybercrime bei Privatkunden Cybercrime bei Firmenkunden Betrug im Zahlungsverkehr hat es schon immer gegeben. Aber was ändert sich mit der Digitalisierung? Eine Unterschrift ist leicht nachzumachen. Eine gute Fälschung hält im Tagesgeschäft vielleicht einer Sichtprüfung stand. Beim Betrug im beleghaften Zahlungsverkehr täuscht der Täter die Identität des Kunden vor. Die digitale Signatur: e0339f72c793a89e664a8a932f073962a- 3f84eda0bd9e02084a6a9567f75aa022100bd9cbaca2e5ec195751efdfac164b76250b1e21302e51ca86dd7ebd7020cdc0601 Eine digitale Signatur ist mit technischen Mitteln nicht imitierbar. Die Täter versuchen, den Kunden den betrüge- rischen Zahlungsvorgang selbst auslösen zu lassen, oder lassen sich vom Kunden Zugang zu seinem System gewähren.

3 Betrugsformen analog / digital 2 / 2 Cybercrime bei Privatkunden Cybercrime bei Firmenkunden Betrug mit SEPA-Firmenkundenlastschriften (ähnlich wie alter Abbuchungsauftrag) Bank des Zahlungspflichtigen 5. Der nicht stornierbare Einzug Bank des Zahlungsempfängers 2. Einreichung des Mandats 4. Einreichung der B2B-Lastschrift 3. Bestätigung der Einmeldung Firma, die betrogen wird 1. Das Grundgeschäft Pseudofirma (Betrüger) Der Betrugsweg

4 1/ 3 Beispiel aus dem Privatkunden-Banking Mehr-TAN-Trojaner: 100 TAN-Trojaner

5 2/ 3 Rücküberweisungs-Trojaner Der Betrug beginnt mit einem Hinweis zum irrtümlichen Geldeingang

6 3/ 3 Rückkehr zum klassischen Phishing als Vortat : Mails und Webseiten haben nur noch selten Rechtschreibfehler.

7 1/ 7 Cybercrime im Unternehmen setzt stattdessen beim Mitarbeiter an, denn das Firmenkundengeschäft ist wesentlich differenzierter. Fazit Im Ausland seit Jahren praktizierte Betrugsszenarien halten Einzug im deutschsprachigen Raum. ihn dazu zu bringen, scheinbar rechtmäßige Zahlungen auszulösen. Die Täter setzen bei ihrem Angriff gezielt auf die Täuschung eines Mitarbeiters im Unternehmen, um. Zugriff auf den Arbeitsplatzrechner des Mitarbeiters zu erlangen, um selbst Zahlungen auszulösen, z. B. über eine Fernwartungssoftware (Remote Access).

8 2/ 7 Betrugsszenarien in der Praxis: Social Engineering und Remote Access Tools!!! Das Szenario ähnelt der Variante des Microsoft-Technikers, nur ruft hier vermeintlich die Bank selbst an. Es wird vorgegeben, technische Unterstützung bei einem notwendigen Update leisten zu müssen. Das vermeintliche Software-Update installiert tatsächlich ein Remote Access Tool, eine sonst nützliche Support-Software zur Unterstützung bei erwünschter technischer Hilfestellung. Der Nutzer wird zur Ablenkung während der Installation an verschiedene Rechner geschickt. Konkrete Fälle aus Großbritannien und aus Frankreich sind bekannt offenbar ist diese Methode aber auch in anderen Ländern verbreitet.

9 3/ 7 Betrugsszenarien in der Praxis: Rechnungsbetrug Falsche Rechnungen für Fantasieleistungen, die durchaus in Inhalt und Leistung einer erwarteten Rechnung entsprechen können. Vorher werden die richtigen Ansprechpartner in der Firma ausfindig gemacht. Die Rechnung kann per Mail oder Post kommen. Teils wird das Briefpapier von realen Vendoren verwendet. Der Mitarbeiter wird manchmal auch sofort mit der Mahnung angeschrieben, der ein Anruf folgt, um den Mitarbeiter unter Druck zu setzen. Nicht selten werden auch hier gefälschte Auftragserteilungen als Grundlage der Rechnung mit veröffentlichten Faksimiles der Managements versehen (z. B. aus Bilanzen). Rechnungsbetrug ist bei größeren Summen eher schwierig aufgrund firmeninterner Kontrollmaßnahmen bei neuen Vendoren oder veränderten Bankverbindungen zu Vendoren.

10 4/ 7 Betrugsszenarien in der Praxis: Mandatsbetrug Vermeintliche Mail von einem Lieferanten mit angeblicher Korrektur der Bankverbindung. Diese folgt unmittelbar auf eine echte Mail zu einer erwarteten Rechnung vom realen Absender, nachdem der Mailserver des Geschäftspartners gehackt worden ist. Es gibt auch Fälle, in denen die Bankverbindungsänderung postalisch mit Vorlaufzeit an reale Vendoren angekündigt wurde! Dies erfolgte in einem Fall auch schon so großflächig an alle Geschäftspartner des Unternehmens, dass der Treasurer selbst der Meinung war, es müsse wohl eine neue Bankverbindung im Unternehmen geben. Mögliche Eingangskanäle sind Mail, Fax, Brief auf korrektem Briefbogen etc. Meist größere Summen (bekannt sind 7- und 8-stellige Beträge). Die Zielländer dieser Betrugsszenarien befinden sich oft in Südostasien.

11 5/ 7 Betrugsszenarien in der Praxis: Mandate-Fraud Die regulär von der Bank ausgestellte Kontobestätigung wurde als Vorlage genutzt, um den Geschäftspartner der Firma über eine vermeintlich neue Bankverbindung zu informieren. Die Firma nutzte im Vorfeld das gleiche Bestätigungsschreiben. Mit Unterschriften von Bankmitarbeitern. Das Schreiben ähnelt dem der Bank. Commerzbank wurde durch INVEST BANK ersetzt (sichtbar in der Schriftzugunterbrechung in der Signatur). Bekannt ist dieses Betrugsverfahren insbesondere in Industrien, bei denen auf Basis von Lieferscheinen überwiesen wird ODER im Nachgang zu mitgelesenen Rechnungen mit Mails.

12 6/ 7 Betrugsszenarien in der Praxis: Spear Phishing (CFO-Fraud / CEO-Fraud) Eine gefälschte, scheinbar interne Mail weist einen Mitarbeiter an, eine Transaktion durchzuführen. Die Weisung kommt in diesen Fällen meist vom Management und avisiert einen Anruf, z. B. von einem betrauten Anwalt. Eine von vielen uns bekannten Storys, mit denen der Mitarbeiter getäuscht werden soll, ist eine anstehende Fusion, die aufgrund der Börsennotierung des eigenen Unternehmens streng vertraulich ist. Konkrete Fälle aus Großbritannien, den USA und aus Deutschland sind bekannt. Der Anrufer kommt meist mit mehrfachen Aufträgen auf den Mitarbeiter zu.

13 7/ 7 Betrugsszenarien in der Praxis: Spear Phishing (CFO-Fraud / CEO-Fraud) Der folgt der avisierte Anruf. Auch das Vortäuschen ganzer Telefon- und Videokonferenzen ist uns bekannt. Die Rufnummer im Display ist über Spoofing fälschbar. Verlangte Dokumente werden in der Regel auch gefälscht geliefert (Ausweiskopien, Fusionsverträge etc.). Der Betrug wird aus sicherer Entfernung per Anruf so oft wiederholt, bis die Täuschung entdeckt wird. Bei Überweisungen in den asiatischen Raum werden die Anweisungen oft nach 12 Uhr MEZ initiiert und es wird meist eine gleichtägige Valutabindung verlangt. Praxisfall 1: Es rief laut dem Mitarbeiter der CFO der eigenen Holding persönlich an und der Mitarbeiter meinte, ihn an der Stimme erkannt zu haben. Die eingeschaltete Revision war vor Ort, als weitere Anrufe des Betrügers folgten und man konnte die Ähnlichkeit bestätigen. Praxisfall 2: Der Treasurer in einer gerade aufgekauften Firma erhielt den Anruf vom vermeintlichen Vorstand. Auch er glaubte, ihn an der Stimme erkannt zu haben, da er ihn vor drei Wochen erst angerufen und zum Firmenjubiläum gratuliert hatte. Beide Anrufe waren vorgetäuscht.

14 1/ 3 Wie können sich Unternehmen schützen? Gewährleisten Sie die IT- in Ihrem Unternehmen. Öffnen Sie keine Anlagen/Anhänge von s, denen Sie nicht vertrauen. Identifizieren Sie risikobehaftete Prozesse und stellen Sie Kontrollen sicher: Nicht nur die Zahlungseingabe oder die Zahlungsfreigabe ist sicherheitskritisch. Stammdatenänderungen (Kontoverbindungen) sollten abgesichert sein. Rückversicherung bei Unsicherheit: Eine telefonische Rückversicherung beim bekannten Ansprechpartner in der Bank oder beim Geschäftspartner kann den Betrug verhindern. Schulen Sie Mitarbeiter auf das Risiko von Social Media, wenn Kontaktanfragen von Unbekannten leichtfertig akzeptiert werden. Schaffen Sie ein Bewusstsein dafür, dass veröffentlichte Daten in solchen Netzwerken darauf zu prüfen sind, wie sie gegen die Person genutzt werden können. Installieren Sie nie Software, die Ihnen Dritte ungefragt aufdrängen: Jeder Mitarbeiter muss wissen: Was darf der externe Support und was nicht? Prüfen Sie jeden überraschenden Sachverhalt mit dem gesunden Menschenverstand. Haben Mitarbeiter in Ihrer Firma Einzelunterschriftsvollmachten? Dürfen Mitarbeiter in Ihrer Firma unlimitiert unterschreiben? Haben Sie bei der Bank ein Fax-/ -Revers für Aufträge hinterlegt? Haben Sie bei Ihrer Bank die Sperrung beleghafter Zahlungsaufträge beauftragt? Sind öffentlich bekannte Unterschriften auch für die Autorisierung bei der Bank hinterlegt?

15 2/ 3 Was tun, wenn man Opfer geworden ist? Kontaktieren Sie sofort Ihre Bank, insbesondere wenn die Zahlung noch frisch ist. Zahlungen werden nur garantiert zurückgegeben, wenn sie dem Empfängerkonto noch nicht gutgeschrieben sind. Zahlungen werden unter Umständen auch dann noch zurückgegeben, wenn das Geld noch nicht verfügt wurde (good will). Ein erfolgreicher Überweisungsrückruf ist nur möglich, wenn er zeitnah erfolgt. Was kann die Commerzbank im Fall des Falles für Sie tun? Unmittelbarer Überweisungsrückruf Weltweit gute Vernetzung mit ausländischen Banken Vermittlung von Kontakten zu Ermittlungsbehörden im ganzen Bundesgebiet, die auf Cybercrime spezialisiert sind.

16 3/ 3 Fazit Cybercrime im Firmenkundengeschäft ist nicht industrialisiert wie im browserbasierten Banking. Hohe Diversität macht das Schreiben von Malware zu teuer. Die Attacken erfolgen meist über Social Engineering. Schulung von Mitarbeitern, gesicherte Prozessschritte, die Prüfung eines merkwürdigen Sachverhaltes mit dem gesunden Menschenverstand und die Rückversicherung bei bekannten Ansprechpartnern helfen, den Betrug zu verhindern. Der Schaden durch einen zu spät bemerkten Betrug kann unter Umständen auch nach Geldabgang noch abgewendet werden, wenn Sie nicht zögern und sofort Ihre Bank informieren. Damit kann ein Überweisungsrückruf eingeleitet werden.

17 Disclaimer Diese Präsentation wurde von der Commerzbank AG vorbereitet und erstellt. Die Veröffentlichung richtet sich an professionelle und institutionelle Kunden. Alle Informationen in dieser Präsentation beruhen auf als verlässlich erachteten Quellen. Die Commerzbank AG und/oderihre Tochtergesellschaften und/oder Filialen (hier als Commerzbank Gruppe bezeichnet) übernehmen jedoch keine Gewährleistungen oder Garantien im Hinblick auf die Genauigkeit der Daten. Commerzbank AG GS-OS IS Security Consulting & Research MSB CTS & FI, Product Management Cash Services, Fraud Prevention Zum Kontaktformular Die darin enthaltenen Annahmen und Bewertungen geben unsere beste Beurteilung zum jetzigen Zeitpunkt wieder. Sie können jederzeit ohne Ankündigung geändert werden. Die Präsentation dient ausschließlich Informationszwecken. Sie zielt nicht darauf ab und ist auch nicht als Angebot oder Verpflichtung, Aktien oder Anleihen zu kaufen oder zu verkaufen, die in dieser Präsentation erwähnt sind, wahrzunehmen. Die Commerzbank Gruppe kann die Informationen aus der Präsentation auch vor Veröffentlichung gegenüber ihren Kunden benutzen. Die Commerzbank Gruppe oder ihre Mitarbeiter können ebenso Aktien, Anleihen und dementsprechende Derivate besitzen, kaufen oder jederzeit verkaufen, wenn sie es für angemessen halten. Die Commerzbank Gruppe bietet interessierten Parteien Bankdienstleistungen an. Die Commerzbank Gruppe übernimmt keine Verantwortung oder Haftung jedweder Art für Aufwendungen, Verluste oder Schäden, die aus dieser Präsentation entstehen oder in irgendeiner Art und Weise im Zusammenhang mit der Nutzung eines Teils dieser Präsentation stehen.