Uno degli attacchi dei criminal hacker che passano sottotraccia per le remore delle aziende a renderlo noto, è la truffa BEC (Business Email Compromise) che consiste, semplificando, nell’inganno volto a convincere la vittima, di solito un dipendente, a bonificare somme anche molto consistenti ad un conto corrente diverso rispetto a quello legittimo.

Detto in termini più semplici: il denaro viene inviato al conto corrente dell’hacker e non al vero destinatario. E’ poi quasi sempre troppo tardi per bloccare il bonifico: il danno è ormai fatto.

Quando succede in un’azienda, si passa dall’incredulità allo shock misto ad una silenziosa vergogna in coloro che all’interno dell’azienda sono stati ingannati, quasi sempre persone esperte, non certo sprovveduti.

Si tratta di un fenomeno molto rilevante che dovrebbe far accendere i campanelli di allarme nelle direzioni aziendali per adottare quelle contromisure volte a ridurre il rischio, ma questo è un rischio poco percepito perché emerge pochissimo nei mass media, tranne che a livello giudiziario.

Negli ultimi anni, si trovano sempre più sentenze che si occupano di questo tipo di truffe BEC dove si tratta di valutare, dal punto di vista giuridico, se il pagamento fatto all’hacker è valido ed efficace per il debitore liberandolo rispetto al creditore.

Un recente caso trattato dal tribunale di Belluno appare utile per spiegare come ragiona un giudice.

Una ditta ottiene un decreto ingiuntivo per una fornitura di oltre 48 mila euro verso un suo cliente, il quale ha proposto opposizione al decreto, sostenendo di aver pagato la fornitura esattamente all’IBAN indicato nella fattura allegata alla mail appartenente al creditore, come da consolidata prassi.

La cliente opponente deposita l’email, la fattura con indicato l’IBAN e la contabile del bonifico. Si precisa anche che la mail con la fattura è stata inviata proprio dall’indirizzo email in uso alla ditta fornitrice (un indirizzo gmail.com…).

Quest’ultima evidenzia che in realtà l’IBAN indicato nella fattura non è quello corretto, ma altro IBAN di cui non ha alcuna relazione.

Il giudice nella sentenza accoglie le ragioni del debitore affermando che questi non è stato in alcun modo negligente nell’eseguire il pagamento dato che la mail proveniva dall’indirizzo del creditore, con in allegato la fattura su sua carta intestata con tanto di logo, inviata secondo la prassi precedente.

Dalla sentenza emerge poi che il fornitore aveva avuto altri casi simili, rendendo evidente che gli hacker avevano compromesso la sua casella di posta elettronica, inviando poi numerose email ai clienti con le fatture alterate per quanto riguarda l’IBAN, una tecnica che io e Stefano Benato abbiamo trovato in più casi analizzati.

Presumo quindi che il danno per la ditta fornitrice sia stato molto più elevato, avendo gli hacker agito in modalità seriale come sono soliti fare.

E’ molto istruttivo che la ditta fornitrice fosse un’azienda di una certa importanza, ma ciò nonostante con modalità di gestione dei pagamenti molto semplice e quindi vulnerabili.

Si tratta peraltro di una situazione ricorrente in molte aziende che capiscono la sottovalutazione del rischio solo quanto gli capita direttamente o ad un loro cliente.

Ecco il motivo per cui io e Stefano Benato abbiamo creato un seminario dedicato proprio alle truffe BEC che si inserisce all’interno del nostro ecosistema formativo #firewallumano volto a far attecchire nelle aziende la cultura della cybersecurity.

Vuoi saperne di più? Contattami e ne parliamo…

---

Like   Back to Top   Seen 288 times   Liked 0 times

Subscribe to Updates

Enter your email address to be notified of new posts

Subscribe to:
All Posts GDPR cyber security

x

Subscribe to Updates

If you enjoyed this, why not subscribe to free email updates ?

I've already subscribed / don't show me this again