Payment Diversion Fraud in Hongkong mittels Social Engineering

veröffentlicht am 1. Juli 2019 | Lesedauer ca. 5 Minuten​

Autor: Marc Tschirner
 

Der Dämon unter der bemalten Haut: Teil II
  
In unserem zweiteiligen Beitrag zu wirtschaftskriminellen Handlungen geben wir Ihnen heute einen kurzen Überblick zum sogenannten Payment Diversion Fraud, zu Deutsch „dem Umleiten von Zahlungs­­­strömen”. Neben dem CEO Fraud handelt es sich hierbei eine relativ simple Betrugs­masche, die gnadenlos aufzeigt, wo Schwachstellen und Angriffspunkte im Unternehmen vor­handen sind. Beginnen möchten wir mit einem Überblick zum möglichen Tatvorgang.
 

 

• Payment Diversion Fraud – Genereller Überblick

• So schützen Sie ihr Unternehmen

Payment Diversion Fraud – Genereller Überblick

Im Unterschied zum CEO Fraud, bei dem die Täter sich als vermeintliches Vorstandsorgan gerieren, geben sich die Täter hierbei als Lieferant oder Geschäftspartner des Zielunternehmens aus und verleiten Mitarbeiter dazu, mittels gefälschter Mitteilungen Entgelte für Waren oder Dienstleistungen auf andere als die sonst üblichen Konten zu überweisen, indem eine vermeintlich neue Bankverbindung fingiert wird.

Üblicherweise geschieht das durch Verwendung eines Domainnamens, der täuschend dem eines tatsächlichen Lieferanten des Zielunternehmens ähnelt oder bei dem es sich tatsächlich um den E-Mail Account eines Lie­feran­ten handelt, der im Vorfeld der Tat von den Betrügern durch das Einschleusen von Schadsoftware oder durch Phishing gekapert wurde. Beim Payment Diversion Fraud müssen die Täter lediglich wissen, wer das Ziel­unternehmen beliefert.

Social Engineering sei Dank, ist das oftmals aber leichter als gedacht und sei an folgendem Beispiel illustriert:

Im Rahmen einer Transparenzoffensive, die zur Übernahme von unternehmerischer Verantwortung, ver­stärkter Zusammenarbeit im nationalen sowie internationalen Handel und schließlich zur besseren Um­setzung von Sozial- und Umweltstandards in Produktionsländern führen soll, sind führende deutsche Dis­counter und Einzelhandelsunternehmen dazu übergangen, ihre Zulieferer im Textilbereich mit Adresse im Inter­net offen­zulegen. Da diese Zulieferer häufig in Ländern des panasiatischen oder auch afrikanischen Raums ver­ortet werden können und es sich oftmals um Betriebe mit limitiertem Bewusstsein für Cyber Crime, Compli­ance und IT-Sicher­heitsstrukturen handelt, ist es für Täter erheblich einfacher Social Engineering zu betreiben. Alternativ wird auch das Einschleusen von Schadsoftware bzw. Phishing – bezeichnet den Versuch über be­trügerische E-Mails und Kopien von legalen Websites an Finanz­daten und sonstige personenbezogene Informa­tionen von ahnungs­losen Computernutzern zu gelangen – genutzt, um an die für sie relevanten Daten zu ge­langen.

Haben die Täter mittels gefälschter oder „gehackter” Accounts des Lieferanten erst einmal die Kontrolle über die Kommunikation zwischen Lieferant und Zielunternehmen gewonnen, sind ihre Aussichten auf Erfolg ungleich höher, da die Gelder ja nur auf ein anderes, unter der Kontrolle der Täter stehendes Bankkonto umgeleitet werden müssen, während alle anderen Informationen zum üblichen Zahlungsprocedere des Zielunternehmens, das von einem „ihm bekannten Lieferanten” kontaktiert wird, passen.

• unbefugtes Offenlegen von Daten, z.B. Fehlversendungen von E-Mails oder 
• unbefugte Zugriff auf Daten, z.B. Zugriff durch Hacker oder durch nicht befugte Mitarbeiter bzw. Dritte.

Im schlimmsten Fall können sogar sowohl der tatsächliche Lieferant (Identitätsdiebstahl) als auch das ge­schädigte Unternehmen (Fehlversendungen einer E-Mail aufgrund von Täuschung bzw. Zugriff auf Daten durch nicht befugte Dritte (gefälschte Rechnung) noch in den „Strudel” der DSGVO geraten.

Zuwiderhandlungen gegen die DSGVO können mit Bußgeldern von bis zu 10 Mio. Euro oder 2 Prozent des Konzernumsatzes belegt werden. 

• Vernichtung von Daten, z.B. Daten wurden gelöscht/zerstört, können nicht wiederhergestellt werden
• Verlust von Daten, z.B. gestohlener Laptop, verschlüsselte Daten durch Ransomware
• Unbefugtes Offenlegen von Daten, z.B. unbeabsichtigte Veröffentlichung im Internet, unbeabsichtigter Zugriff von außen auf eine interne Datenbank, Fehlversendungen per Post oder E-Mail
• Unbefugter Zugriff auf Daten, z.B. Zugriff durch Hacker oder nicht befugte Mitarbeiter

Gem. Art. 33 Abs. 1 DSGVO sind Verantwortliche nach Eintritt einer Datenpanne zu einer Meldung an die Auf­sichts­behörden verpflichtet. Dabei sollte beachtet werden, dass durch die Meldung an die Behörden grund­sätzlich eine Selbstbelastung vorliegt, was wiederum zu einer möglichen strafrechtlichen Verfolgung führen kann. Darüber hinaus wird durch die Behörden ein Mindestinhalt verlangt, der vor der Versendung der Meldung an­walt­lich und fachgerecht bewertet werden sollte, um mögliche Risiken zu minimieren.
 

So schützen Sie ihr Unternehmen