9. CEO-Fraud oder BEC

BEC (Business Email Compromise) wird nur sehr speziell ausgeführt – anders als etwa die vielen erfassten Phishing-E-Mails, Bild 9. Die Angreifer investieren dafür viel Zeit und Geld, weil auf diese Weise bereits Millionen US-Dollar erbeutet wurden. Dabei greifen die Hacker auf ein E-Mail-Konto eines Unternehmens zu; nach Möglichkeit das Konto des Chefs. Dort lesen die Angreifer, wer die Zulieferer oder Grosskunden sind. Im Namen dieses Chefs wird die Finanzverwaltung angewiesen, ein Projekt zu bezahlen. Auch Nachfragen der Finanzverwaltungen werden abgefangen und bestätigt. Danach gibt es noch Änderungen bei den Kontodaten und der Betrug läuft – denn, wer widerspricht schon dem Chef.

Spektakulärer Fall: Die belgische Crelan Bank wurde Opfer eines Betrugs, der das Unternehmen etwa 75,8 Millionen US-Dollar kostete. Ein Angreifer kompromittierte das Konto einer hochrangigen Führungskraft innerhalb des Unternehmens und wies seine Mitarbeiter an, Geld auf ein vom Angreifer kontrolliertes Konto zu überweisen. Der Phishing-Angriff auf die Crelan Bank wurde erst später bei einem internen Audit entdeckt, denn Zahlungen in dieser Höhe waren wohl keine Seltenheit. Laut eines FBI-IC3-Berichts (ic3.gov) lagen die Schäden durch Business Email Compromise im Jahr 2023 bei 2,9 Milliarden US-Dollar – nur in den USA!