10.12.2024 - In der vergangenen Woche sind dem BACS zahlreiche «CEO-Fraud»-Betrugsversuche gemeldet worden. Besonders Kirchen, Schulen, Vereine und politische Parteien sind betroffen, da sie oft viele Informationen auf ihren Websites preisgeben, welche die Täter für glaubwürdige Täuschungen nutzen. Ziel der Betrüger ist es, das Opfer zu Zahlungen zu bewegen oder es zum Kauf von Online-Geschenkkarten und der Übermittlung der Gutschein-Codes zu bringen, damit die Betrüger die Geschenkkarten einlösen können.
Was ist CEO Fraud?
CEO-Fraud, auch bekannt als «Chef-Betrug» oder «Fake President Fraud», ist eine perfide Betrugsmasche, bei der sich Kriminelle als Führungspersonen, wie z. B. Geschäftsführende oder Vorsitzende ausgeben. Sie nehmen per E-Mail Kontakt zu Mitarbeitenden oder Verantwortlichen auf und fordern diese auf, dringende Zahlungen zu leisten oder Geschenkkarten zu erwerben.
In letzter Zeit geraten zunehmend Kirchen, Schulen, Vereine und politische Parteien ins Visier der Täter. Diese Institutionen teilen häufig Informationen über ihre Struktur, verantwortliche Personen und Aktivitäten auf ihren Websites. Solche öffentlich zugänglichen Daten werden von den Tätern genutzt, um ihren Betrugsversuchen mehr Glaubwürdigkeit zu verleihen. Die Opfer sollen zum Kauf von Geschenkkarten und zur Weitergabe der Codes verleitet werden, damit die Täter die Geschenkkarten einlösen können. In anderen Fällen wird das Opfer unter Druck gesetzt, eine angeblich dringende Überweisung auszulösen.
Die Betrugsnachrichten wirken oft täuschend echt und darin wird das Opfer unter Zeitdruck gesetzt, oder es wird ihm mit gravierenden Konsequenzen bei Nichtausführung des Auftrags gedroht. Dies lässt dem Opfer wenig Zeit und Raum, um die Behauptungen zu hinterfragen. Achtsamkeit, interne Kontrollmechanismen und ein gesundes Misstrauen sind daher wichtige Schutzmassnahmen gegen CEO-Fraud.
Wie gehen die Betrüger vor?
Die E-Mails treffen im Namen des Schulleiters, Vereinspräsidenten Kirchengemeindepräsidenten, Pfarrers, oder Parteipräsidenten ein und beginnen meist mit der Frage, ob man eine Minute Zeit hätte, man müsse eine dringende Aufgabe erledigen, könne aber gerade nicht telefonieren. Bei den Meldungen ans BACS war vor allem interessant, dass die Absender vielfach eine Outlook E-Mail-Adresse hatten und die E-Mail-Adresse sich wie folgt zusammensetzte: vorname.nachname.firmenname@outlook.com.
Wird auf die initiale E-Mail geantwortet, folgt ein konkreter Auftrag. In der Regel fragt die Täterschaft, ob man Geschenkkarten (z. B. von Apple, Steam oder Google) über meist mehrere 100 Franken organisieren könne. Werden diese gekauft, muss man die Codes der Karten anschliessend per E-Mail übermitteln.
Empfehlungen
- Sensibilisieren Sie alle Mitarbeitenden, Vorstandsmitglieder usw. bezüglich CEO-Fraud. Dies gilt vor allem für Personen in Schlüsselpositionen wie Schulleiter, Vereinspräsidenten und weitere Personen, welche Zahlungen für die Firma, den Verein oder die Organisation auslösen dürfen;
- Sensibilisieren Sie die Mitarbeitenden dahingehend, dass gezielte Angriffe mit öffentlich verfügbaren Informationen durchgeführt werden können;
- Beschränken Sie Informationen über Mitarbeitende und Mitglieder auf der Webseite auf das absolut Notwendige;
- Geben Sie keine internen Informationen preis und seien Sie bei Zahlungsaufforderungen vorsichtig: Kommen Sie keinen ungewöhnlichen Zahlungsaufforderungen nach und lassen Sie sich nicht zeitlich unter Druck setzen;
- Sämtliche Prozesse, welche den Zahlungsverkehr betreffen, sollten firmen- oder behördenintern klar geregelt sein und von den Mitarbeitenden in allen Fällen eingehalten werden. (z. B. Vier-Augen-Prinzip, Unterschrift Kollektiv zu zweien).
Aktuelle Zahlen und Statistiken
Die Anzahl Meldungen der letzten Woche nach Kategorien sind publiziert unter:
Letzte Änderung 10.12.2024
