Au furat 20 de milioane de dolari spărgând emailurile agenților imobiliari – de ce firmele mici trebuie să ia în serios securitatea cibernetică

Un cetățean nigerian a fost condamnat la 10 ani de închisoare pentru că a furat economiile de-o viață ale unor persoane, spărgând emailurile agenților lor imobiliari. Povestea oferă un exemplu clar de ce firmele mici și mijlocii ar trebui să ia securitatea cibernetică în serios.

Babatunde Francis Ayeni, în vârstă de 33 de ani, un cetățean nigerian care locuia în UK la momentul arestării sale, a folosit o schemă sofisticată de compromitere a emailurilor afaceristilor (business email compromise, sau BEC) vizând tranzacții imobiliare din Statele Unite.

Ayeni și cel puțin doi complici care operau din Nigeria și Emiratele Arabe Unite trimiteau emailuri de phishing cu atașamente și linkuri infectate către companii de titluri de proprietate, agenți imobiliari și avocați imobiliari din SUA.

Furarea datelor de autentificare

„Dacă un angajat al unei firme imobiliare vizate dădea clic pe linkul sau atașamentul malițios, era invitat să își introducă informațiile de autentificare ale contului de email,” conform Biroului Procurorului Statelor Unite din South Alabama. „Datele de autentificare ale angajatului erau trimise direct către Ayeni și asociații săi.”

Cu datele de autentificare în posesie, făptașii accesau conturile de email și verificau când un cumpărător era programat să facă o plată ca parte a unei tranzacții imobiliare.

Ayeni și conspiratorii săi se dădeau drept agenți, schimbau conturile bancare cu altele aflate sub controlul lor, trimiteau emailuri din conturile compromise și le cereau cumpărătorilor să trimită banii.

Cumpărătorii, nesuspectând nimic, se conformau, unii trimițându-și economiile de-o viață pentru achiziția fictivă a unei noi locuințe.

Victimele, în stare de șoc

În timpul audierii de condamnare de mai multe zile, aproximativ 20 de victime au apărut în fața judecătorului Terry Moorer pentru a descrie situația devastatoare în care se aflau.

Pe lângă cei care au vorbit în instanță, mulți alții au furnizat declarații scrise despre impactul suferit, spunând că, „pe lângă pierderea tuturor economiilor pentru achiziția unei noi locuințe, au simțit o rușine, disperare și depresie semnificative datorită felului în care au fost victimizați”, conform comunicatului de presă al DOJ (Departamentul de Justiție al SUA).

Peste 400 de cetățeni americani au fost victime ale lui Ayeni și complicilor săi. Dintre aceștia, mai mult de jumătate nu au reușit să anuleze tranzacțiile bancare la timp și au pierdut banii. Documentele instanței arată că aceste victime au pierdut împreună aproape 20 de milioane de dolari.

Ayeni și-a recunoscut vinovăția la acuzațiile de fraudă și va petrece următorii 10 ani în spatele gratiilor. Cei doi complici ai săi, identificați de DOJ ca fiind co-inculpații Feyisayo Ogunsanwo și Yusuf Lasisi, rămân în libertate și se crede că sunt în afara Statelor Unite. Autoritățile caută să îi aresteze și să îi extrădeze.

Cine e de vină?

Acest caz reprezintă un exemplu clar de ce organizațiile mici și mijlocii – precum firmele de consultanță, firmele de avocatură, sau agențiile imobiliare – intâmpină consecințe grave în cazul nefericit în care intră în vizorul hackerilor.

Citește: Ce amenințări cibernetice majore se confruntă afacerile mici?
Citește: Amenințările și provocările unice de securitate cibernetică cu care se confruntă firmele de consultanță

Mai afectați în acest caz au fost, însă, clienții lor, care nu aveau cum să suspecteze ce se întâmpla în culise.

Comunicatul de presă DOJ nu specifică dacă firmele victimelor aveau autentificarea multifactor activată pentru conturile de email ale angajaților, ceea ce ar fi făcut dificil pentru Ayeni și echipa sa să acceseze aceste emailuri.

Este de presupus că nu aveau, ceea ce poate fi descris doar ca o neglijență majoră.

Nu lăsa asta să se întâmple în firma ta

Acesta este un caz clar de eroare umană, subliniind importanța instruirii regulate a angajaților pentru a recunoaște atacurile de phishing și escrocheriile BEC.

Citește: Cinci instrumente și practici esențiale de securitate cibernetică pentru firmele mici

Bitdefender recomandă cu tărie ca firmele mici să implementeze nu doar politici de securitate si instruire, dar software de securitate în infrastructura IT pentru a limita șansele unui atac reușit.

Bitdefender Ultimate Small Business Security este o versiune extinsă a suitei noastre de securitate pentru utilizare personală, care include detecție malware, prevenire ransomware, protecția emailului, protecția conturilor compromise, protecție împotriva escrocheriilor și VPN. Poate fi administrat de oricine din organizație datorită unui panou de control intuitiv, proiectat pentru a fi folosit chiar și de cei fără experiență tehnică. Pentru a vedea cum funcționează, accesează https://www.bitdefender.com/en-us/consumer/small-business-security.