Business email compromise (BEC) är en distinkt kategori av ekonomisk brottslighet, inte en variant av nätfiske som råkar rikta sig mot chefer. Nätfiske lyckas genom att få någon att klicka på något de inte borde. Business email compromise lyckas utan något sådant maskineri: hela attacken utgörs av ett välefterforskat e-postmeddelande som ber en specifik person att göra något som rimligen passar in under en vanlig arbetsdag. De största incidenterna kan flytta sexsiffriga belopp i en enda överföring, och när någon väl märker det har pengarna oftast redan lämnat landet.

Inga av de signaler som ett nätfiskefilter eller en välutbildad medarbetare normalt letar efter upptäcks. Det är vad som skiljer business email compromise från vanligt nätfiske, och det är anledningen till att allmän medvetenhet om nätfiske inte kan göra mycket för att stoppa det. Vi visar hur du upptäcker business email compromise och skyddar din organisation.

Vad är business email compromise?

Business email compromise är en riktad attack där en brottsling utger sig för att vara någon som målet litar på, vanligtvis en högre chef, en leverantör eller en intern kollega, och begär en banköverföring, en ändring av betalningsuppgifter eller känsliga inloggningsuppgifter.

Det rör sig vanligtvis inte om någon skadlig kod(nytt fönster) eller skadlig länk. Vad som varierar är hur avsändarens identitet förfalskas, och angripare har fler alternativ än de flesta tror:

  • Förväxlingsbara domäner: Angriparen registrerar en domän som är nästan identisk med den riktiga, byter ut en enda bokstav eller lägger till ett bindestreck, och räknar med att ingen läser adressen noggrant.
  • Spoofing av visningsnamn: Visningsnamnet för “från” ställs in så att det matchar den betrodda personen – “John Smith” – medan den faktiska adressen är något helt orelaterat. Många mobila e-postklienter visar som standard endast visningsnamnet, så den verkliga adressen visas aldrig ens på skärmen.
  • Header-spoofing: SMTP, protokollet som hanterar e-post, verifierar inte “Från”-rubriken på egen hand, så en angripare kan skicka ett meddelande som påstår sig komma från den verkliga adressen utan att någonsin ha kontroll över den. Huruvida det når inkorgen beror på den mottagande domänens autentiseringskontroller.
  • Manipulering av svarsadress: Den synliga “Från”-adressen ser legitim ut, men en annan svarsadress är inställd bakom den, så i samma stund som målet klickar på svara dirigeras konversationen obemärkt till angriparen.
  • Kontokompromettering: Angriparen får åtkomst till ett äkta e-postkonto och skickar förfrågan inifrån det.

Den sista av dessa, kontokompromettering, är den svåraste att upptäcka, eftersom det verkligen inte är något tekniskt fel på e-postmeddelandet. Det kom från den verkliga adressen, på den verkliga anpassade e-postdomänen, och kan till och med fortsätta en tråd som målet har sett tidigare.

Hur tillvägagångssättet för business email compromise fungerar

Attacker med business email compromise är genomtänkta och inte improviserade, och förberedelserna är vanligtvis där brottslingarna lägger ner mest arbete.

Efterforskning

Det börjar med rekognosering: LinkedIn-profiler avslöjar vem som har vilken titel och vem som rapporterar till vem, företagets pressmeddelanden tillkännager sammanslagningar, finansieringsrundor eller nya leverantörsrelationer, och ett frånvaromeddelande kan ge en angripare den detalj de behöver allra mest – bekräftelse på att den verkliga chefen är oanträffbar just nu.

Välja ett mål

Därifrån går angriparen vidare till att välja mål. Inte alla anställda är användbara för ett försök till business email compromise; målet måste vara någon med befogenhet att faktiskt flytta pengar eller ändra betalningsuppgifter, vilket vanligtvis begränsar urvalet till ekonomi, leverantörsreskontra, HR eller löneavdelningen.

Efterlikningen inleds

När ett mål och en trovärdig berättelse har valts följer efterlikningen, antingen via en förfalskad liknande domän eller en genuint komprometterad brevlåda, anpassad till den ton, signatur och formalitetsnivå som den verkliga avsändaren skulle använda.

Kontakt tas

Angriparen interagerar med någon inom företaget och framför en brådskande begäran eller ett krav. Det kan handla om ett förvärv som måste slutföras i dag, en revisor som behöver siffrorna omedelbart eller en strandsatt kollega som inte kan komma fram på telefon.

Vanligtvis är begäran en banköverföring, en ändring av bankuppgifter eller en begäran om inloggningsuppgifter, formulerat som något som helt enkelt måste göras och inte något som bör ifrågasättas.

Fyra vanliga scenarier för business email compromise

Här är några av de vanligaste taktikerna för business email compromise som angripare använder.

VD-bedrägeri

Ett e-postmeddelande verkar komma från företagets vd, verkställande direktören eller en annan högre ledare och ber en medlem av ekonomiteamet att behandla en brådskande, ofta konfidentiell betalning. Den skenbara senioriteten hos avsändaren gör det mesta av arbetet här, eftersom få anställda känner sig bekväma med att ifrågasätta en förfrågan som ser ut att komma från högsta ledningen.

Fakturabedrägeri

En leverantör som företaget redan samarbetar med verkar meddela en ändring av bankuppgifter, vanligtvis tajmat för att komma precis innan en riktig faktura förfaller till betalning. Eftersom en genuin affärsrelation och en genuin betalning redan finns är den här versionen ofta den svåraste för ett ekonomiteam att upptäcka, och den står för några av de största enskilda förlusterna som företag rapporterar.

Omdirigering av löneutbetalningar

Ett e-postmeddelande som utger sig för att komma från en anställd, eller ibland själva HR-avdelningen, ber löneavdelningen att uppdatera bankuppgifter inför nästa lönekörning. Begäran är tillräckligt liten och vardaglig för att sällan granskas en extra gång, vilket är precis varför det fungerar.

Identitetsstöld av IT-support

Ett meddelande som utger sig för att komma från intern IT eller en support ber en anställd att bekräfta ett lösenord eller godkänna en inloggningsprompt inför en systemuppdatering. Till skillnad från de andra tre är detta scenario inte ute efter pengar direkt. Det är ute efter inloggningsuppgifterna som gör alla andra former av business email compromise enklare att utföra.

Vad business email compromise faktiskt kostar

Förluster från business email compromise rapporteras annorlunda än vanliga kortbedrägerier, vilket delvis förklarar varför problemets omfattning är lätt att underskatta. FBI:s Internet Crime Complaint Center registrerade 2,77 miljarder dollar(nytt fönster) i förluster från business email compromise över 21,442 rapporterade incidenter under 2024, och dess sammanställning av bedrägeriet placerar de globala exponerade förlusterna på över 55 miljarder dollar(nytt fönster) under det senaste decenniet. Genomsnitt döljer dock den verkliga bilden. Fallen som skapade rubriker visar vad ett enda välkonstruerat e-postmeddelande kan sätta i rullning.

Mellan 2013 och 2015 fakturerade en litauisk bedragare Facebook och Google på sammanlagt 121 miljoner dollar(nytt fönster) med hjälp av falska fakturor från ett företag som utgav sig för att vara Quanta Computer, en hårdvaruleverantör som båda företagen faktiskt använde. Eftersom fakturorna passade in i en befintlig affärsrelation betalade ekonomiteamen dem och fortsatte att betala dem under två års tid.

År 2016 drabbades den österrikiska flygunderleverantören FACC av ett e-postmeddelande som utgav sig för att komma från dess dåvarande VD och begärde en överföring på cirka 50 miljoner euro(nytt fönster) för ett påstått förvärvsprojekt, exakt den förevändning som beskrevs i början av denna artikel. Företaget stoppade en del av överföringen efter att ha upptäckt bedrägeriet, men resten återficks aldrig.

Dessa fall beskriver en brottskategori som skiljer sig från den mesta nätfiskestatistiken. Nätfiske mäts i volym: miljontals nästan identiska e-postmeddelanden, där de flesta fångas upp av ett filter innan någon ens ser dem.

Business email compromise mäts i enskilda incidenter, var och en uppbyggd kring ett enda mål och en enda betalning, och var och en kapabel att orsaka mer skada under en eftermiddag än vad tusen blockerade nätfiskemeddelanden någonsin skulle kunna göra.

Varje organisation som tidigare har flyttat pengar via banköverföring eller ändrat en leverantörs bankuppgifter bör behandla detta som en reell finansiell risk och rapportera misstänkta incidenter till sitt nationella center för bedrägerirapportering, som IC3 hos FBI i USA, Action Fraud i Storbritannien och motsvarigheter på andra platser.

Kontrollerna som faktiskt stoppar business email compromise

Eftersom business email compromise kringgår de tekniska varningsflaggor som nätfiskeutbildning förlitar sig på ser kontrollerna som stoppar det också annorlunda ut. Medvetenhet hjälper, men försvaret som faktiskt håller är processuellt och tekniskt, inte en fråga om att anställda läser e-postmeddelanden mer noggrant.

Dubbel auktorisering

Dubbel auktorisering för alla betalningar över ett visst tröskelvärde måste vara obligatoriskt, inte en formalitet som tillämpas när någon kommer ihåg att fråga. En enskild persons godkännande ska aldrig räcka för att flytta en betydande summa pengar, oavsett hur högt uppsatt eller brådskande begäran verkar vara.

Återuppringningsverifiering

Återuppringningsverifiering sluter den cirkel som enbart e-post inte kan. Varje begäran om att ändra bankuppgifter eller genomföra en betalning bör bekräftas per telefon med hjälp av ett nummer som redan finns sparat i systemet, aldrig ett som anges i själva e-postmeddelandet, eftersom ett nummer från angriparen helt enkelt kopplar målet tillbaka till angriparen.

Granska procedurerna för godkännande av betalningar

Regelbundna granskningar av procedurerna för godkännande av betalningar bidrar också till att minska risken för business email compromise över tid. När företag växer blir tillfälliga undantag och informella genvägar ofta en del av den dagliga verksamheten utan att någon ifrågasätter om de fortfarande är lämpliga. Att granska vem som kan auktorisera betalningar, hur ändringar av bankuppgifter godkänns och vilka transaktioner som kräver ytterligare verifiering säkerställer att de finansiella kontrollerna fortsätter att matcha organisationens aktuella risknivå. Även väl utformade rutiner tappar i effektivitet om de inte ses över i takt med att verksamheten utvecklas.

E-postautentisering

Teknisk e-postautentisering är en viktig del av e-postsäkerhet och har en betydelse här som den inte har för det mesta nätfisket, eftersom business email compromise ofta bygger på att förfalska en organisations egen domän för att efterlikna dess chefer.

DMARC, i samarbete med SPF och DKIM, talar om för mottagande e-postservrar vad de ska göra med meddelanden som misslyckas med att autentiseras mot din domän, vilket gör det betydligt svårare för en angripare att skicka ett e-postmeddelande som verkar komma från din egen VD.

Öppen säkerhetskultur

Inget av detta fungerar utan en underliggande kulturnorm: Det är alltid acceptabelt att pausa och verifiera en begäran, oavsett vem som verkar fråga. Anställda som är rädda för att verka hindrande eller misstänksamma mot en högt uppsatt person är precis dem som ett försök till business email compromise är utformat för att lura, och den rädslan försvinner först när ledningen upprepade gånger klargör att det är förväntat, inte illojalt, att ifrågasätta en ovanlig förfrågan.

Hur du upptäcker varningstecknen på ett försök till business email compromise

Business email compromise ger sällan ifrån sig uppenbara tekniska varningstecken. E-postmeddelandet kan komma från en bekant adress, referera till ett verkligt projekt och använda ett språk som stämmer överens med tidigare konversationer. Det är därför sammanhanget kring begäran ofta spelar större roll än själva e-postmeddelandet.

Flera mönster återkommer ständigt i utredningar av business email compromise. En begäran som kringgår normala godkännandeprocedurer bör alltid väcka frågor. Detsamma gäller oväntade instruktioner om att hålla en betalning konfidentiell, ändringar av en leverantörs bankuppgifter kort innan en faktura förfaller eller förfrågningar som kommer när en högre chef är på resa och svår att nå. Angripare väljer medvetet situationer där det är mindre troligt att anställda verifierar förfrågan via en annan kanal.

Små förändringar i kommunikationsstil kan också ge ledtrådar. En chef som normalt delegerar ekonomiska godkännanden kan plötsligt begära en betalning personligen. En leverantör som vanligtvis kommunicerar via en kundansvarig kan skicka bankinstruktioner från en annan kontakt. Inget av dessa tecken bevisar en attack i sig, men de bör föranleda ytterligare verifiering innan pengar flyttas eller kontouppgifter ändras.

Det säkraste tillvägagångssättet är att behandla ovanliga ekonomiska förfrågningar som avvikelser i affärsprocessen snarare än situationer som kräver brådskande beslut. Ett kort telefonsamtal till ett betrott nummer, eller bekräftelse via en etablerad intern kommunikationskanal, kan förhindra en förlust som annars skulle ta veckor eller månader att återfå.

Hur underlättar inloggningsuppgifter business email compromise?

Alla försök till business email compromise bygger inte på en förfalskad liknande domän. Ibland börjar det med ett genuint komprometterat e-postkonto, där angriparen helt enkelt loggade in med ett lösenord som redan hade exponerats någon annanstans.

Väl inne behöver de inte förfalska något. De kan läsa gamla trådar, matcha ton och formatering exakt och skicka den bedrägliga förfrågan från en adress som klarar alla autentiseringskontroller, eftersom det verkligen är avsändarens eget konto.

Det är här lösenordshygien och förebyggande av business email compromise överlappar direkt. Protons Data Breach Observatory spårar hur ofta företagsinloggningsuppgifter dyker upp i kriminella dataset långt innan någon inom det drabbade företaget märker det, och kontokompromettering är precis det resultat som den informationen möjliggör.

Säker företagse-post och unika lösenord på varje konto, kombinerat med flerfaktorsautentisering (MFA), innebär att ett lösenord som läckt från ett intrång inte kan återanvändas för att ta sig in i en brevlåda och starta ett försök till business email compromise inifrån.

En lösenordshanterare för företag som Proton Pass for Business gör denna standard realistisk att upprätthålla över en hel organisation, snarare än något som beror på att enskilda medarbetare kommer ihåg att inte återanvända lösenord. När inloggningsuppgifter genereras och lagras korrekt minskar sårbarheter för dataintrång och kontoövertaganden avsevärt.

Skydda dina företagskonton från kompromettering med en säker lösenordshanterare för företag.