BEC — מתקפת פישינג עסקי: $2.9 מיליארד בנזקים ב-2024

Business Email Compromise (BEC) היא לא רק מתקפת סייבר — היא ההונאה הפיננסית הגדולה ביותר בעולם. בניגוד לוירוסים ורנסומוור, BEC לא דורשת כישורים טכניים מיוחדים. היא דורשת רק שחקן טוב ומייל אחד משכנע. ב-2024 דיווח ה-FBI על נזקים של $2.9 מיליארד — ואלה רק המקרים שדווחו.

5 סוגי BEC — כיצד פועלים?

1. CEO Fraud (הונאת מנכ"ל)

התוקף שולח מייל שנראה מהמנכ"ל לעובד כספים: "אני בפגישה חשובה, אני צריך העברה דחופה של 200,000 ש"ח לספק חדש. שמור בסוד עד שאחזור." עד שמישהו מבין — הכסף כבר ביעד לא ניתן לשחזור.

2. Vendor Impersonation (התחזות לספק)

התוקף פורץ לתיבת המייל של ספק קיים, מחכה לרגע הנכון, ואז שולח חשבונית עם פרטי בנק שהשתנו. הלקוח משלם — לתוקף.

3. Attorney Impersonation (התחזות לעורך דין)

"אני עורך הדין המטפל בעסקת הנדל"ן שלכם. העברת הכספים צריכה להתבצע לפני סגירת בית המשפט היום." לחץ, סמכות, דחיפות — שלושת המרכיבים של BEC מוצלח.

4. Employee Payroll Fraud (שינוי חשבון משכורת)

מייל ל-HR שנראה מעובד: "שינוי פרטי בנק לתשלום משכורת." התוקף מקבל את המשכורת. העובד האמיתי לא מקבל כלום.

5. Real Estate BEC

פורץ לתכתובת בין קונה, מוכר ועורכי דין בעסקת נדל"ן. רגע לפני סגירה, שולח הוראות לשלם לחשבון שהשתנה "בגלל בעיה טכנית".

כיצד מזהים מתקפת BEC?

• בקשה דחופה והעברת כסף — "חייב להיות היום", "לפני סגירת הבנק"
• דומיין דומה אך לא זהה — company-il.com במקום company.co.il
• שינוי פרטי בנק של ספק קיים
• בקשה לשמור "בסוד" ולא לדבר עם אחרים
• מנהל שמבקש דבר חריג מחוץ לנהלים הרגילים
• כתובת Reply-To שונה מכתובת ה-From

5 אמצעי מניעה שעובדים

1. אמת בטלפון — כל שינוי פרטי בנק ובקשה פיננסית חריגה מעל סכום מסוים → שיחת טלפון לאישור (לא מייל)
2. MFA על כל תיבות המייל — מונע גישה לתיבת ספק שנפרצה
3. DMARC p=reject — מונע זיוף הדומיין שלכם
4. Dual Approval — כל העברה מעל X ש"ח דורשת אישור של שניים
5. הדרכת עובדים — במיוחד כספים, HR, ו-IT שמטפלים בשינויים פיננסיים