FBI：BEC诈骗总损失超过260亿美元

近日，美国联邦调查局（FBI）发布了过去六年最新的BEC诈骗（商业电子邮件诈骗）统计数据，FBI互联网犯罪投诉中心（IC3）表示，BEC诈骗活动每年都在继续增长，2018年5月至2019年7月期间，经确认的全球已知损失增加了100%。此外，在2016年6月至2019年7月期间，IC3收到了16.6万起国内和国际事件的受害者投诉，总损失超过260亿美元。

众所周知，这些丢失的资产通常是很难恢复和追回的。例如，去年，一家欧洲影院连锁店成为 BEC 攻击的牺牲品，该攻击在一个月时间内通过一系列转移活动共获取了2150万美元的收益。据悉，在此次攻击中，欺诈者通过冒充该公司的法国 CEO 来骗取该公司荷兰区域高管的信任，并通过“需要转移资金进行收购”的借口顺利套取了共计 2150 万美元；2019年4月，诈骗份子又设法从一个俄亥俄州天主教教区偷走了 175 万美元，据悉，这笔钱正是这个教区为教堂翻新所筹集的资金。在此次案件中，犯罪分子通过网络钓鱼攻击入侵了该教区的电子邮件系统，并伪装成正在为教堂翻新工作的建筑公司，来欺骗他们将资金汇入到攻击者的银行账户中。

通常来说，BEC欺诈与老式的“419诈骗”相比，无论是渗透还是劫持支付流程都有了很大改进。什么是“419诈骗”呢？其实大家应该对这种欺诈手段一点也不陌生，其最常见的诈骗方式是预先付费诈骗，诈骗份子会先向受害者发送手机短信或是电子邮件，声称他们赢得了大笔金钱，然后引诱这些受害者主动与诈骗团伙联系，接着诈骗份子会谎称受害者必须要先支付一笔订金，才能够得到巨额的奖金，但是等到受害者支付了这笔所谓的“订金”，诈骗份子又会要求受害者支付一些杂七杂八的“手续费”，等到受害者把钱都付给这些骗徒，对方便消声匿迹，并且把受害者的钱转到一些空头账户当中。

而在BEC欺诈中，诈骗分子会首先对CFO和其他重要财务角色进行侦察，并在冒充这些高级商业领袖和要求付款之前发送针对性很强的网络钓鱼电子邮件。

除了技术手段日益精进之外，更糟糕的现实是，过去一年中，BEC正呈显著增长的趋势。根据 Proofpoint 今年早春发布的一份报告显示，在 2018 年第四季度中，每家目标组织遭遇的 BEC 攻击数量同比增长了476%。与此同时，Mimecast 也在其发布的《2019年电子邮件安全年度报告》中指出，假冒和 BBEC 攻击增长了67%，且其中 73% 的受害组织遭受了直接损失。

而来自劳埃德银行和Get Sage Online的数据发现，受到BEC攻击成功击中的公司中有五分之一由于财务影响而不得不裁员。

此外，根据联邦调查局最新的IC3报告，2018年收到的350,000起投诉中，由于商业电子邮件泄密（BEC），敲诈勒索，技术支持欺诈和工资转移等诈骗造成的财务损失总计超过27亿美元。鉴于许多网络犯罪没有报告，真实的数字可能要高得多。

值得欣慰的是，虽然BEC欺诈损失的资金通常很难恢复或追回，但是，也并非全然无可能。 为了对抗BEC金融欺诈的增长，IC3于2018年2月成立了其资金恢复团队（RAT），指在协调金融机构间的沟通，以期更好地冻结和撤回转向美国账户的虚假转账。相关数据显示，2018年2月2日至2018年12月31日期间，RAT共处理了1,061起此类国内诈骗。这些骗局给受害者造成的总损失为2.571亿美元，但RAT找回了1.927亿美元，恢复率为75%。此外，IC3还设置了“互联网犯罪受害者专家”（VSIC）的新职位，指在为网络犯罪活动中的受害者提供危机干预服务，评估受害者的需求，为受害者介绍更多的资源。

遭受BEC欺诈后如何快速施救？

1. 要恢复资产，请快速思考，快速行动

虽然追踪已经被远程攻击泄露的丢失数据可能非常困难，但在某些情况下（如果不是不可能的话），只要涉及到资金，就难免会留下原始痕迹。英国律师事务所Foot Anstey的争议解决小组的合伙人Steven Richards表示：

你不知道欺诈者是谁。但你首先要知道的是，资金第一时间流向了何处。您可能需要付款给某个银行，并且您将拥有该帐户的详细信息。你知道钱在哪里消失了，你可以随时通过银行系统跟踪资金流向。

在意识到自身遭遇欺诈的第一时间，公司应该去那家银行（通常通过公司的法律顾问）并通知他们您是欺诈的受害者，同时要求银行立即关闭或暂停该帐户操作。如果请求足够快，这可能会挽留住部分或全部资金。

一旦嫌疑人帐户被冻结，您就可以获得法院命令，要求银行向您提供帐户的详细信息，告诉您该帐户的拥有者以及资金的具体流向，然后请求将资金追回。

虽然不同的国家或贸易区域（例如英国和欧盟）在法院命令的法律执行方面通常会有相互协议，但在国内跟踪和恢复资产要容易得多。转移到国外的资金可能需要在该领土内寻求法律顾问帮助。

Richards表示：

现实情况是，大多数外部网络犯罪都来自英国以外的国家，如果资金一旦流出国，事情就会变得越来越复杂、困难且代价高昂。除非你行动足够迅速并且很幸运，不然你就得跟你的钱说拜拜了。

运行此类BEC攻击的有组织黑客团体将倾向于避免触发银行针对欺诈或洗钱的内部警报，因此他们很少会在一次付款中提取大笔金额。他们更有可能以较小的金额向多个账户汇款。这使得追踪和追回变得更加困难，因此在这种情况下，能否迅速有效地采取紧急行动才是成功与否的关键所在。

Richards还举了一个真实案例进行说明，一家公司在损失了30万英镑的6天后才来联系银行，虽然最终欺诈帐户被暂停，但银行承认，如果在三天前完成相同的流程，90％的资金将被冻结。

所以说，如果你能够足够快地采取行动，就能够及时关闭账户，并尽可能多地降低损失。要知道，一天天和几小时的损失肯定是有所区别的，别拿自己的钱赌博！

2. 从内部人员处恢复资产

当涉及从内部人员处恢复资产时——无论是数据还是金钱——事情会更简单一点，因为您知道嫌疑人是谁并且可以采取更直接的行动。Richards表示：

如果有人偷了钱或数据，通常会交由警方处理，这可能会导致该人入狱；警方也可能会通过刑事司法程序，让他面临监禁或罚款的处罚，然后在此过程中作出补偿。但这一切都不受你的控制，你无法控制整个过程，而且最重要的是，这样可能并不能帮助你（受害者）追回自己的数据或钱。例如，在英国，执法部门在2018年追回的1.44亿英镑中，仅向受害者支付了3000万美元。所以，如果你想要追回自己的金钱或数据，那么采取民事诉讼要比采取刑事诉讼好得多。在民事法庭上有很多很好的补救办法可以收回你的钱或你的资产。

这些补救办法包括：

通过“搜索和查封令”进入并扣押可能存放被盗信息的计算机；

通过“计算机成像令”复制查获设备的图像；

通过“披露令”要求个人交出文件；

通过“护照交付令”防止嫌疑人在此过程中出国；

通过“限制令”阻止嫌疑人与其他参与方讨论作案信息；

Richards回忆起他帮助一家投资管理公司从员工那里恢复交易算法的案子。他表示：

我们当时代理了一家非常庞大，非常成功的对冲基金投资公司，该公司使用算法为客户买卖股票。它的核心是一个非常非常敏感、昂贵且有价值的软件，可谓是其业务成功的不二法门。为了完善这种算法，它不断地被安全团队修改和更新，在此过程中，一名员工就通过电子邮件将算法源代码发送给了自己，然后跳槽到竞争对手公司工作。

幸运的是，该员工由于其他原因受到了公司的怀疑，在公司查看其记录时，发现他一直在访问该代码，同时还通过电子邮件将大量数据发送到个人Gmail和Hotmail帐户中。虽然这些电子邮件的内容是加密的，但公司仍然十分担心并迅速采取了行动。

在没有告诉员工的情况下，该公司对该员工发出了禁令。Richards表示：

我们能够获取到他所有的计算机设备和Gmail和Hotmail帐户密码。他加密了一切并极力否认自身的不当行为。我们有他所有计算机的图像，但我们无法访问基础数据。后来，我们聘请了计算机取证专家，试图让他们来查找证据。最终，我们发现他确实已经获取了这些信息，然后我们快速采取有力措施，确保删除掉了所有可能的数据副本，并保证他很难将其再传递给其他任何人。

其中一个步骤包括写信给该员工的新雇主，警告说如果其公司拥有该机密信息，它也将违反相关法院命令并可能面临罚款处罚。

3. 应对准备是任何恢复的关键

具备详细的事件响应和灾难恢复计划可以帮助企业加快恢复速度。Richards建议称：

确保你的企业现在有针对这种可能性的应对计划。很多企业花了很长时间才弄清楚欺诈是否已经发生，然后在采取任何实际行动和联系合适的人之前才去了解具体的流程问题。为了有效实现灾后恢复，请务必制定行动计划，以便清楚地了解应该在第一时间打电话给谁以及做什么。

保险也应该成为公司必要的考虑因素。因为很多时候，保险可以很大程度地帮助企业弥补损失，而且这通常是最简单的止损之法。

除此之外，“先发制人”可能是处理数据窃取的最佳方式。员工教育和确保对欺诈和可疑行为的认识应该融入企业的文化中。事实上，我们看到的大多数欺诈都是由于某种形式的人为错误而产生的，所以请务必保持警觉，并尽你所能的学会识破和阻止欺诈者。