Ett enkelt bedrägeri kostade universitetet 1,9 miljoner dollar

En form av bedrägeri som ofta intensifieras under sommarmånaderna är så kallade VD-bedrägerier (på engelska CEO-fraud eller Business Email Compromise).

Attacken går oftast till så att en bedragare via olika kanaler, främst mejl, utger sig för att vara en hög uppsatt person inom organisation i syfte att få en anställd på organisation att genomföra en ogrundad transaktion till ett konto som bedragaren kontrollerar.

Historiskt har vi sett att den här formen av attacker ökar under semestertider och att svenska organisationer bör vara vaksamma eftersom attacker även sker mot svenska företag. Det såg vi inte minst i fjol.

Southern Oregon University (SOU) i USA drabbades tidigare i vår, då en bedragare lyckades få universitetet att överföra 1,9 miljoner dollar till ett konto som bedragaren kontrollerade.

I det här fallet har bedragaren inte utgett sig för att vara en anställd utan en representant för Andersen Construction, en byggentreprenör som ansvarade för bygget av en paviljong och ett rekreationscenter för studenter. Men några pengar nådde aldrig byggentreprenören. Istället fördes pengarna över till bedragaren.

Att utge sig för att vara någon annan via mejl är otroligt enkelt, och i det fallet kan angriparen ha använt en kombination av social engineering-tekniker och mejlspoofing i syfte att ta reda på information om organisationen och på så vis övertyga mottagaren av mejlet.

Incidenten fick FBI att gå ut med varning till andra universitet i maj, där de också beskriver att många universitet är involverade i stora byggprojekt vilket kan utnyttjas av en angripare.

I en kommentar sa universitetets talesman Joe Mosley: “Vi har briefats av FBI att det har skett 78 olika attacker mot institutioner varav några var universitet. Vi är inte ensamma”.