Blog: Maak medewerkers bewust van CEO-fraude

Sinds enige tijd zijn gemeenten, net als veel andere organisaties, het doelwit van CEO-fraude. Het is een geavanceerde vorm van fraude door Spear Phising, met als doel financieel gewin. De meeste ontvangers herkennen gelukkig direct dat een dergelijke mail niet in de haak is, maar soms komt het voor dat een gemeente al een betaling klaar had staan.

Wat is de werkwijze van CEO-fraude

Een cybercrimineel geeft zich uit als iemand van het hoogste niveau binnen een gemeente zoals bijvoorbeeld de burgemeester of gemeentesecretaris. Vanuit deze rol wordt er aan een medewerker die geautoriseerd is betalingen te doen (afdeling financiën) gevraagd snel een bedrag over te maken. Deze betaling gaat vaak naar het buitenland en betreft vaak een flink bedrag.

Bij een reguliere phishing mail wordt er naar een grote groep mensen hetzelfde mailtje verstuurd in de hoop dat er iemand reageert. Bij Spear Phishing is de email specifiek aangepast op een persoon of organisatie. De cybercrimineel heeft eerder via openbare bronnen (zoals LinkedIn, Facebook, Twitter of de eigen gemeentelijke website) informatie achterhaald van het mogelijke slachtoffer en ook vanuit welke naam de mail verstuurd moet worden.
Vaak wordt er een email verstuurd vanuit een mailadres dat lijkt op een privé emailadres van de burgemeester/gemeentesecretaris. Iedereen staat vrij om een nieuwe email account aan te maken bij bijv. Gmail, Yahoo of Excite met de naam van een ander persoon.

In de mail wordt er door de cybercrimineel verteld dat de belangrijke betaling snel moet gebeuren. Zo’n betaling wijkt af van de standaard procedures, maar omdat het lijkt of de mail van persoon met gezag komt is de medewerker sneller geneigd om van procedures af te wijken. De naam en rekeningnummer waar het geld naar toe moeten zijn onbekend voor de gemeente en zijn vaak buitenlandse rekeningen.

Om te voorkomen dat u slachtoffer wordt is het belangrijk om medewerkers bewust te maken van CEO-fraude zodat dit zo vroeg mogelijk herkend wordt. Het helpt ook als de gehele organisatie op de hoogte is van de geldende betaalprocedures.

Veelvoorkomende kenmerken op een rij

• De email komt van een persoon met gezag, zoals de burgemeester of gemeentesecretaris.
• De email is erg kort (slechts enkele zinnen), urgent en het emailadres is geen officiële email van een gemeente.
• Er wordt een beeld van hoge urgentie geschetst, waardoor een medewerker wordt overgehaald om procedures niet te volgen.
• Het email adres dat gebruikt wordt is niet het gemeentelijke emailadres maar lijkt van een persoonlijk adres te komen, zoals @hotmail.com.
• Er wordt gevraagd om naar een onbekende buitenlandse rekening geld over te maken.

Wat te doen om CEO fraude te voorkomen

• Controleer uw betaalprocedures en zorg dat deze altijd worden gehanteerd.
• Indien er een uitzondering gemaakt dient te worden op een betaalprocedure, laat de betaling door een extra persoon of leidinggevende controleren.
• Informeer medewerkers die geautoriseerd zijn betalingen te doen (afdeling financiën) over kenmerken van CEO fraude.
• Meldt een fraudepoging bij fraudehelpdesk.nl.
• Indien een CEO fraude geslaagd is, doe aangifte bij de politie.

Remko Sikkema, adviseur informatiebeveiliging