我们很高兴发表这篇来自阿比德·穆罕默德的咨询文章，他是不断变化的状态，它提供合同生命周期和类别管理，战略采购和SRM。
与超模一样，采购通常每天的费用不低于1万英镑（支出），但一个电子邮件骗局突显了为什么组织需要采购注意更低的支出门槛，并推动更好的采购订单覆盖率，以打击这些网络犯罪分子。
我们去钓鱼吧
网络钓鱼电子邮件诈骗已经存在了十多年，但近年来它们变得越来越复杂，越来越有针对性。我们大多数人都收到过虚假或网络钓鱼邮件。来自非洲继承人或王子的邮件非常容易识别，而其他邮件则更难识别，因为它们准确地模仿了真实银行电子邮件的风格——除非你检查发件人或查看其中包含的链接。
与此同时，微软Office 365等托管公司电子邮件服务的增长并没有被骗子们忽视。他们针对托管电子邮件用户发起简单、有效的社会工程攻击，最终导致凭证被盗。
在过去的几个月里，一个新的电子邮件钓鱼骗局出现了。它使用了一种被称为“中间人”攻击的版本，利用受害者（通常担任高级职务）与同一组织内其他联系人之间的信任。
骗局是如何运作的
最初，诈骗者将向他们的潜在受害者发送真正的个性化电子邮件，使其似乎来自用户的电子邮件服务提供商。实际消息或指令可能有所不同，例如“重置密码”或“验证您的帐户详细信息”。但是，如果用户没有注意到并点击嵌入式链接，它将引导它们到一个网络钓鱼（凭据收获）网站。这些站点看起来像他们的电子邮件托管提供商的实际Web门户网站，例如Office365。
现在，骗子已经收集了用户的登录凭据，他们可以随时访问。他们入侵邮箱，识别用户组织中的其他联系人。他们还增加了邮件规则，可以删除/移动邮件、阻止某些电子邮件，或将电子邮件标记为“已读”，并将电子邮件移动为垃圾邮件，以帮助掩盖任何可疑活动。一旦账户被完全泄露，骗子会从受害者的账户向财务/账户团队发送一封电子邮件，其中包含一张假照片购物的相对低价发票，显然来自另一家真正的商业机构，但账号发生了变化。发票上还写着写给受害人的地址。为了让请求看起来合法，骗子会添加一条简短的个性化信息。
诈骗者随后留在受害者的收件箱上，甚至会回复电子邮件，以向“付款请求”增加合法性。在大多数情况下，账户团队的成员将相应支付请求来自其高级同事的电子邮件帐户，也许是首席执行官，并向发票上的银行账户支付发票 - 由诈骗者控制的发票。
雪上加霜的是，骗子可能还从受害者的邮箱下载了一份该组织的发票副本，现在可以使用Photoshop制作更多假发票，从而可能欺诈其他企业。即使在意识到这一欺诈行为后，受害者的组织也无法阻止这些骗子使用发票副本，或以客户、合作伙伴或供应商为目标，从而进一步损害声誉。这一过程再次继续——骗子的最终目标是双重的，通过个性化的网络钓鱼电子邮件窃取凭据，然后使用假发票进行财务欺诈。
我们怎么抓住他们？
骗子们使用多种技术来保护自己不被抓到，很难找到他们。他们在发送电子邮件或访问受害者的电子邮件帐户时使用VPN隐藏自己的位置。伪造发票上使用的银行账户也属于银行账户欺诈的其他受害者，他们不知道自己的银行账户已被泄露，他们的借记卡已被骗子克隆。
一旦这些都完成了，这些骗子就很容易提取资金、转出资金或购买加密货币。
营救
网络安全是所有组织的热门话题，他们不断寻求改善他们的信息安全实践和对员工的培训，以了解这些威胁。然而，单独的这种情况不足以保护造成经济损害的欺诈行为。
通常，一个组织的防御系统中存在一个可利用的漏洞，而这些漏洞正是骗子所关注的。也就是说，骗子往往会发送价值较低的发票，而且大多数采购组织都有门槛（通常在1万英镑左右，但有些甚至高达100万英镑），在此之前，需要提供采购订单号。目前，许多此类诈骗发票可能会滑到这些阈值以下，应付账款中的穷人可能1）有大量交易要处理，或2）依赖被骗高管/受害者的电子邮件，只是不假思索地付款。
因为对于一个大中型组织来说，个人金额可能很小，所以这种骗局甚至可能不会在支出报告中被发现，这使得该组织不知道骗子是在为自己的利益挪用现金。
这种骗局（以及其他类似的骗局）有助于为更广泛甚至全面的采购订单覆盖范围、更直接的采购参与和责任创造商业案例。你现在就可以开始说服你的组织采取行动了。
如果您认为您的组织已成为网络钓鱼或黑客攻击的受害者，请确保向行动欺诈.
讨论一下：