Tokyo, Cyberthreat.id - Raksasa media, Nikkei, menjadi korban penipuan email bisnis. Penipuan ini melibatkan seorang pegawai Nikkei America, anak perusahaan Nikkei di Amerika Serikat (AS). Pada akhir September lalu, pegawai tersebut mentransfer US$29 juta (sekitar Rp 392 Miliar) ke rekening bank milik penipu berdasarkan perintah email milik seorang eksekutif Nikkei.

Setelah insiden tersebut, Nikkei America menyewa pengacara untuk melaporkan penipuan tersebut ke otoritas yang melakukan penyelidikan di AS dan Hong Kong. "Saat ini kita mengambil tindakan untuk memulihkan dana yang telah ditransfer dan bekerjasama penuh dengan penyelidikan," kata Nikkei dalam rilis persnya di nikkei.co.jp pada 30 Oktober lalu. Nikkei merupakan perusahaan media finansial terbesar di Jepang dengan pendapatan per tahun sekitar US$ 1,5 miliar. Namanya dipakai sebagai nama bursa saham Jepang, yang setara dengan  Dow Jones Industrial Average di AS. Nikkei memiliki media bereputasi seperti Financial Times dan Nikkei Asian Review.

Meski rilis itu tidak menyebutkan alasan melibatkan otoritas Hong Kong, namun diperkirakan bahwa uang penipuan tersebut dikirim ke bank di Hong Kong. Bukan cerita baru bahwa rute uang yang dicuri melalui penipuan email bisnis atau business-email-compromises (BEC) biasanya melalui Hong Kong dan negara-negara Eropa Timur seperti Hungaria, Latvia, dan Lithuania.

Selain Nikkei America, BEC juga memakan korban bulan lalu: City of Ocala di Florida dan gereja di Brunscwick, Ohio, yang masing-masing tertipu US$742 ribu dan US$1,75 juta. Namun, jumlah kerugian Nikkei ini termasuk yang terbesar setelah kerugian Facebook US$99 juta pada 2017 dan anak perusahaan Toyota di Eropa, US$37 juta pada September 2019.

"Anda banyak mendengar soal ransomware, namun BEC lebih merugikan," kata Stephen Boyer, CTO dari perusahaan manajemen risiko BitSight, kepada duo.com. Perusahaan asuransi AIG mengamini pendapat itu. AIG menerima lebih banyak klaim BEC dibandingkan ransomware pada 2018. Klaim BEC berkontribusi sekitar 23% terhadap semua kasus asuransi kejahatan siber di AIG pada tahun lalu.

Kembali ke Nikkei, teknik BEC yang dipakai menipu pegawai Nikkei America adalah vendor email compromise (VEC). Ini teknik umum di mana akun email vendor dibobol (biasanya melalui teknik phishing) dan digunakan untuk menipu. Hacker kemudian mengawasi email keluar masuk yang terkait invoice dan menunggu kesempatan untuk menyerang. Hacker mengirim "updated" invoice melalui akun yang sudah diambil alih, biasanya akun eksekutif sehingga telihat sahih bagi pegawai yang setiap hari menangani banyak invoice.