Come prevenire la frode sulle fatture tramite simulazioni di sicurezza

Cybersecurity Ventures prevede che entro la fine di quest'anno i costi globali della criminalità informatica supereranno i $10,5 trilioni di dollari USA. Si tratta di un aumento astronomico rispetto alla cifra già sbalorditiva di $3 trilioni di dollari del 2015. Le ragioni sono molteplici: la nostra crescente dipendenza dagli smartphone e dai servizi bancari digitali; le difficoltà legate all’alfabetizzazione digitale in molte delle fasce demografiche prese di mira (come gli anziani), nonché la crescente sofisticazione degli strumenti di intelligenza artificiale. E nessun gruppo è al riparo dagli attacchi.

 Le aziende, in particolare, sono sempre più spesso vittime, ad esempio, di frodi relative alle fatture. Uno studio condotto da Forbes nel 2022 ha rilevato che, tra le 2.750 aziende intervistate, nel giro di un anno sono stati scoperti oltre 34.000 casi di frode relativa alle fatture. In un solo caso nel Regno Unito, due truffatori sono stati condannati al carcere per aver falsificato fatture per un importo superiore a 1 milione di sterline.

Abbiamo incontrato Valerija Jerenkevic, responsabile della lotta alle frodi e della conformità normativa presso ConnectPay, che ci ha spiegato come vengono perpetrate le frodi relative alle fatture. Abbiamo inoltre avuto la fortuna di parlare con uno dei colleghi di Valerija, Tomas, incaricato di gestire un’innovativa simulazione di ingegneria sociale all’interno dell’organizzazione.

Allora, Valerija, cos’è esattamente la frode nelle fatture?

Ovviamente, non si tratta di una forma di frode relativa alle fatture che si verifica comunemente tra i privati. Di solito prende di mira il personale contabile, gli amministratori o i dirigenti. Consideriamo due scenari. Nel primo, i truffatori ottengono l'accesso alla posta elettronica aziendale e possono fare tutto ciò che vogliono. 

Ad esempio, potrei essere in attesa di una fattura da parte di un partner affidabile. Quest’ultimo mi invia l’e-mail, ma anche i truffatori che si sono già infiltrati nel mio sistema di posta elettronica la vedono, compreso il numero IBAN su cui dovrebbe essere effettuato il bonifico. 

Il secondo scenario si verifica quando l'azienda è alla ricerca di nuovi partner. Potrei imbattermi in qualcuno che non conosco e che offre prezzi e servizi allettanti. Credo che sia un'azienda seria, ma dopo aver effettuato il pagamento scopro che si trattava di un'azienda fraudolenta gestita da truffatori. Naturalmente, non ricevo mai alcun servizio da loro. 

Ma come è possibile? Le aziende non sono forse protette da questo tipo di minacce? 

Noterai che, nella maggior parte dei casi, questo genere di attacchi avviene tramite e-mail di phishing o SMS. Ricevi un’e-mail di phishing all’indirizzo aziendale, clicchi su un link sospetto che contiene malware non visibile a occhio nudo. Solo scansioni specializzate dei sistemi informatici sono in grado di rilevarlo. 

Il problema con molte di queste cose è che richiedono che il personale sia sempre vigile. Non solo: i dipendenti devono sapere cosa cercare. Ecco perché la formazione del personale è fondamentale. Anche quando si tratta di coinvolgere nuovi partner o fornitori, bisogna prestare molta attenzione. È necessario verificarne la legittimità verificando se dispongono di un sito web adeguato oppure organizzando delle videochiamate con loro

Quando si ricevono fatture da partner di lunga data, consiglio di applicare il principio del doppio controllo per l’approvazione dei pagamenti. In questo caso, in qualità di contabile, inserirei i dati relativi al pagamento e lo approverei nel nostro software per l'online banking, ma poi anche una seconda persona dovrebbe verificare e approvare il pagamento, controllando ancora una volta che i dati del conto non siano cambiati.

Inoltre, quando si tratta di partner noti, confronta la fattura attuale con quelle precedenti per assicurarti che i numeri di conto corrispondano. Se il conto è cambiato, blocca tutte le transazioni e contatta direttamente il tuo partner per verificare. Chiedi se hanno effettivamente cambiato il conto e perché, assicurandoti che tutto sia legittimo. Questa è la misura di sicurezza principale.

C'è qualcos'altro che un'azienda può fare per proteggersi?

Qui a ConnectPay effettuiamo simulazioni di frode con una certa regolarità. Il mio collega Tomas sarà più che lieto di fornirvi ulteriori dettagli.

Ciao Tomas, puoi dirci qualcosa di più sulla tua esercitazione di ingegneria sociale?

Il nostro team si occupa di condurre simulazioni esterne di ingegneria sociale, in particolare simulazioni di phishing, e lo fa con cadenza mensile. Inviamo ai nostri dipendenti test di phishing casuali, che includono il tipo di e-mail compromesse che si vedono tipicamente, oltre a fatture fraudolente con allegati dannosi. Utilizziamo e-mail che le persone potrebbero ricevere in situazioni reali. Ad esempio, notifiche o richieste che sembrano provenire dalle banche con cui la nostra azienda collabora, oppure inviamo e-mail false che sembrano provenire dai dirigenti o dal reparto IT.

Quando ci segnalano queste e-mail sospette, forniamo loro un feedback positivo, confermando che hanno correttamente identificato un'e-mail dannosa. E nei casi in cui venga cliccato il link o venga aperto un allegato, li contattiamo per discutere di cosa sia andato storto. 

Come era prevedibile, abbiamo notato che la maggior parte dei clic su questi test di phishing proviene dai nostri dipendenti più recenti, che non hanno ancora ricevuto una formazione approfondita. Per ovviare a questo problema, abbiamo introdotto un corso di formazione sul phishing specifico per i nuovi assunti. Questo ci ha anche aiutato a individuare quali tipi di scenari potrebbero rivelarsi più problematici. 

Quindi, l'istruzione e la formazione sono fondamentali per migliorare la sicurezza?

Assolutamente corretto. Quindi, alla luce di questi controlli, il nostro CISO offre ora ai nuovi assunti un corso introduttivo sulla sicurezza, incentrato sulle minacce di phishing. In questa occasione vengono analizzati casi reali basati su tentativi di phishing effettivamente segnalati dai nostri colleghi, in modo che i nostri dipendenti possano confrontarsi con esempi concreti con cui identificarsi. Inoltre, Valerija tiene ogni anno sessioni separate di formazione sulla sensibilizzazione al phishing.

Formiamo i dipendenti affinché sappiano individuare segnali sospetti quali link errati, toni urgenti o errori ortografici. Questo è il tipo di cose a cui i dipendenti devono prestare attenzione. 

Valerija, secondo te qual è il vero valore delle simulazioni di frode?

Beh, ovviamente sono d’accordo su tutto ciò che dice Tomas. Il bello di questa iniziativa è che non solo ci aiuta a mettere alla prova il nostro livello di vigilanza come azienda di fronte a queste minacce, ma ci mostra anche in quali ambiti dobbiamo formare maggiormente i nostri dipendenti. 

Il mio consiglio finale a tutte le aziende è questo: se volete proteggere la vostra attività, dovete essere sempre proattivi, perché se vi limitate a reagire, prima o poi la vostra azienda finirà per essere una delle vittime della criminalità informatica.