Desconeguts envien correus electrònics falsos en nom de bexio, que redirigeixen els destinataris a pàgines web enganyosament autèntiques que no tenen res a veure amb bexio. Allà, els usuaris són instats a introduir les seves dades d'accés. Amb els inicios de sessió robats, els atacants de correus de pesca electrònica han aconseguit en alguns casos iniciar sessió amb èxit en els comptes dels clients, manipular els números IBAN en les factures o consultar dades d'adreça. Els sistemes i la infraestructura de bexio no han estat compromesos. Tots els clients de bexio estan informats. bexio està en contacte directe amb els afectats.
"Lamentem molt la càrrega que signifiquen aquests incidents per als afectats", diu Markus Naef, CEO de bexio. "Recolzem activament els afectats en l'examen dels incidents i en els passos necessaris envers les autoritats. La seguretat de les dades dels nostres clients és la nostra màxima prioritat." L'autenticació de dos factors, fins ara una funció opcional recomanada per als clients, ara s'ha convertit en l'estàndard obligatori en bexio per protegir tots els clients.
Correus de pesca electrònica no tenen res a veure amb bexio.
Aquestes correus de pesca electrònica no són enviades per bexio.
Les adreces de correu electrònic utilitzades per desconeguts no provenen de bexio. No s'han filtrat dades de clients des de bexio. Els correus de pesca electrònica es distribueixen de manera aleatòria.
Com distingir missatges autèntics de bexio de missatges falsos.
Sovint es pot reconèixer a través dels enllaços que accedeixen a pàgines d'Internet que no tenen res a veure amb bexio.
Una pàgina d'informació central de bexio explica detalladament com diferenciar els missatges reals dels intents de pesca electrònica.
Què està fent bexio al respecte.
bexio ha informat de l'atac de pesca electrònica a l'Oficina Federal de Seguretat Cibernètica (BACS) i també al Comissionat Federal de Protecció de Dades i Informació (EDÖB). El BACS informa el proveïdor de hosting web responsable i el registrador, perquè puguin bloquejar la pàgina web o el domini. A més, el BACS informa els proveïdors de llistes de bloqueig. Si es tracta d'un domini .ch o .swiss, el BACS pot bloquejar directament la pàgina web.
L'autenticació de dos factors, fins ara una funció opcional per als clients de bexio, es convertirà en l'estàndard obligatori. Per guiar els usuaris de manera òptima en la implementació d'aquest nou estàndard, s'han ampliat temporalment les capacitats del suport de bexio.
Com a mesura de seguretat establerta, bexio informa automàticament els titulars del compte des de fa temps cada vegada que es realitzen ajustos importants -com per exemple el canvi d'un IBAN- en el sistema.
Com protegir-se contra atacs de pesca electrònica.
No s'han de clicar enllaços o adjunts sospitosos en correus electrònics.
En cas de dubte, els clients poden contactar directament amb el servei d'atenció al client de bexio per verificar un missatge rebut.
Què fer si s'han revelat involuntàriament dades de clients?
Els clients que han proporcionat la seva contrasenya han de canviar-la immediatament en tots els serveis on s'utilitzi. Per a cada servei en línia s'ha d'utilitzar una contrasenya diferent i forta.
Si es tracta d'una contrasenya de correu electrònic que s'ha revelat involuntàriament, també s'han de restablir les contrasenyes de tots els proveïdors web que estiguin associats amb aquest compte.
Si s'ha sofert un dany econòmic o s'han revelat dades personals involuntàriament, l'Oficina Federal de Seguretat Cibernètica (BACS) recomana fer una denúncia a la policia local. A la pàgina de Suisse ePolice es poden trobar les comissaries pròximes.
bexio també aconsella a tots els clients revisar preventivament els números IBAN de proveïdors i els borradors de factures regularment.