Portsmouth – Im Zuge der globalen COVID-19-Pandemie werden Menschen und Unternehmen von Online-Kriminellen dazu verleitet, auf Links zu klicken und E-Mails oder Texte zu versenden, die betrügerischen Machenschaften Tür und Tor öffnen.
Sowohl das Federal Bureau of Investigation (FBI) als auch die E-Mail- und Datenschutzfirma Barracuda Networks haben einen sprunghaften Anstieg von COVID-19-bezogenen E-Mail-Attacken festgestellt.
Betrüger aussperren
Im Idealfall verfügen Unternehmen über eine robuste Technologie zur Betrugsprävention, um kriminelles Vorgehen zu unterbinden. Doch die meisten Unternehmen sind heute eben nicht ganz vorne an der Front der technologischen Möglichkeiten vertreten, sondern irgendwo in den mittleren oder hinteren Reihen der digitalen Transformation. Zum Beispiel zeigt der im Juni erschienene Bottomline-Forschungsbericht «2020 Payments Barometer», dass selbst die grössten Unternehmen sich darin einig sind, dass mehr Massnahmen zur Eindämmung von Zahlungsbetrug nötig sind. Gerade in solch unruhigen und unsicheren Zeiten ist es deshalb entscheidend, Mitarbeiter und Kunden darüber aufzuklären, wie Kriminelle versuchen werden, ihre Organisationen zu infiltrieren. Sie müssen auch wissen, dass weder Zahlungen noch private Informationen weitergegeben werden dürfen.
Wie Betrüger zuschlagen
Die Angst der Menschen ausnutzend, täuschen Betrüger die Nutzer mit fiktiven E-Mails der Weltgesundheitsorganisation, des Centers for Disease Control and Prevention oder anderer glaubwürdiger Quellen, in denen sie vorgeben, Informationen über das Virus anzubieten. Nach wie vor gilt: Öffnen Sie auf einem Firmen-Laptop keine unbekannten E-Mails, Anhänge oder Links, die nicht überprüft werden können.
Die Cybersecurity-Firma Kaspersky berichtete beispielsweise über eine gefälschte CDC-E-Mail, die um Spenden für die Entwicklung eines Impfstoffs mittels Kryptowährung Bitcoin bat. Bei nüchterner Betrachtung erscheint es fast lächerlich, aber E-Mail-Adresse, Nachricht sowie Signatur sind überzeugend. Kaspersky hat über 500 mit Malware infizierter E-Mails entdeckt, die «Coronavirus» im Titel aufwiesen.
Während Regierungen sich bemühen, Unternehmen und Einzelpersonen in diesen schwierigen Zeiten finanzielle Unterstützung zu gewähren, sind Hacker auf der Jagd nach leichter Beute. Und alle Mitarbeitenden müssen mit Phishing-Mails rechnen, die darauf abzielen, Firmen- oder persönliche Informationen zu sammeln.
Dies betrifft vielleicht weniger die Finanzabteilungen, aber man sollte sich in Acht nehmen vor jedem Verkäufer von Produkten, die den Anspruch erheben, COVID-19 zu verhindern, behandeln, diagnostizieren oder zu heilen.
Vorsichtsmassnahmen beschränken sich nicht nur auf E-Mails, sie werden immer häufiger auch für mobile Anwendungen notwendig: Nehmen Sie zum Beispiel einen Finanzleiter, der Zahlungen mit einem neuen mobilen Gerät autorisiert. Das tönt sehr fortschrittlich. Was aber, wenn das Gerät mit einem vorinstallierten, veralteten Betriebssystem geliefert wird? Bis das Gerät mit den neuesten Sicherheits-Patches ausgestattet ist, ist die veraltete Software anfällig für Angriffe. Sofern ein Gerät über keine robusten Zugangskontrollen verfügt, ist es anfällig für unautorisierte Nutzung durch jeden, der Zugang dazu hat.
Unternehmen sollten deshalb die versehentliche Installation von Applikationen vermeiden, die wegen schlechter Programmierung Spyware enthalten oder Datenverluste verursachen. Spyware bietet Betrügern einen einfachen Zugriff, um Sicherheitsmassnahmen zu deaktivieren, Einstellungen zu ändern, auf GPS-Standorte zuzugreifen und E-Mail-Korrespondenz weiterzuleiten.
Tipps zur Betrugsprävention
Auch in guten Zeiten ist die Verhinderung von Zahlungsbetrug wichtig, umso mehr aber im immer noch anhaltenden Coronavirus-Klima. Unternehmen können verschiedene Vorsichtsmassnahmen treffen.
Mit Hilfe eines Mobile Device Management-Dienstes können Unternehmen ihre Richtlinien auf Mitarbeitergeräten steuern, überwachen und durchsetzen. Die meisten MDM-Dienste arbeiten über das Internet, so dass Geräte überall auf der Welt «remote», also aus der Ferne, konfiguriert und verwaltet werden können. Dank dieser Kontrolle können die Mitarbeitenden sicher ausserhalb des Betriebs arbeiten.
Buchhaltungen und Finanzabteilungen sollten bei der Überprüfung der von ihnen bezahlten Personen/Unternehmen wachsam sein, indem sie die Bankdaten validieren und den Kontoinhaber für jede geleistete Zahlung überprüfen – insbesondere für neue oder überarbeitete Zahlungs-anforderungen per Telefon oder E-Mail.
Die Implementierung von «Abweichungs-Erkennung» sowie der Überwachung des Benutzer-verhaltens bei Zahlungsströmen ist ein weiterer sicherer Weg, um Betrug oder menschliches Versagen bei Zahlungen zu reduzieren. Ausgefeilte Systeme überwachen, wer Zahlungsdaten oder
-prozesse abändert, machen Unternehmen auf ungewöhnliches Verhalten aufmerksam und verringern den nachfolgenden Verlust aufgrund betrügerischer oder fehlgeleiteter Zahlungen.
Leider müssen Unternehmen in dieser Zeit möglicherweise Stellen abbauen oder die Gehälter der Mitarbeiter kürzen. In der Vergangenheit ist es in der Folge immer wieder vorgekommen, dass Betroffene mit Zugang zu Zahlungssystemen sich nach der Kündigung zu betrügerischen Machenschaften hinreissen liessen, wobei das Risiko bei Fernarbeit höher scheint.
Erweiterte statistische Algorithmen für maschinelles Lernen in Verbindung mit Logik helfen Unternehmen auch dabei, Zahlungsmuster zu analysieren, die auf den spezifischen risikobasierten Ansatz Ihres Unternehmens abgestimmt sind.
Zusammenfassend lässt sich sagen, dass die Bekämpfung von potenziellem Zahlungsbetrug in besten Zeiten schon schwierig ist, aber noch viel schwieriger ist sie während eines partiellen oder vollständigen Lockdowns. Unternehmen sollten alles tun, um Betrüger in Schach zu halten: Aufklären und vorwarnen, proaktiver Schutz von Zahlungsvorgängen und Überwachung des Mitarbeiter-Verhaltens. (Bottomline Technologie/mc/ps)