Ukendte sender falske e-mails i bexios navn, som leder modtagerne til bedragerisk ægte hjemmesider, der intet har med bexio at gøre. Her opfordres brugerne til at indtaste deres loginoplysninger. Med de stjålne logins er phishing-angriberne i enkelte tilfælde lykkedes med at logge ind på kundekonti, manipulere IBAN-numre på fakturaer eller se adresseoplysninger. Bexios systemer og infrastruktur blev ikke kompromitteret. Alle kunder hos bexio er blevet informeret. Bexio er i direkte kontakt med de enkelte berørte.
"Vi beklager meget belastningen, som hændelserne betyder for de berørte," siger Markus Naef, CEO for bexio. "Vi støtter aktivt de enkelte berørte i bearbejdningen af hændelserne og de nødvendige skridt over for myndigheder. Sikkerheden af vores kundedata er vores højeste prioritet." To-faktor-godkendelse, tidligere en anbefalet valgfri funktion for kunder, bliver derfor nu med det samme en obligatorisk standard hos bexio.
Phishing-e-mails har intet at gøre med bexio
Disse phishing-e-mails sendes ikke af bexio.
De anvendte e-mail-adresser fra ukendte stammer ikke fra bexio. Der er ingen kundedata fra bexio, der er lækket ud. Phishing-e-mails sendes vilkårligt.
Hvordan man skelner mellem ægte bexio-meddelelser og falske meddelelser
Ofte kan man se på linksene, at de fører til hjemmesider, der ikke har noget med bexio at gøre.
En central informationsside fra bexio oplyser detaljeret om, hvordan man skelner mellem ægte meddelelser og phishing-forsøg.
Hvad bexio gør ved det
bexio har rapporteret phishing-angrebet til det amt for cybersikkerhed BACS og også til den føderale databeskyttelses- og informationskommissær (EDÖB). BACS underretter den ansvarlige webhostingudbyder og registraren, så denne kan blokere hjemmesiden eller domænet. BACS informerer også udbydere af blokeringslister. Hvis det drejer sig om et .ch- eller .swiss-domæne, kan BACS få hjemmesiden blokeret direkte.
To-faktor- godkendelse, tidligere en valgfri funktion for bexio-kunder, bliver en obligatorisk standard. For at optimalt at guide brugerne i opsætningen af denne nye standard, er kapaciteterne i bexio-support hurtigt blevet udvidet.
Som en etableret sikkerhedsforanstaltning informerer bexio kontoejerne automatisk, så snart vigtige ændringer - som eksempelvis ændringen af en IBAN - foretages i systemet.
Hvordan man kan beskytte sig mod phishing-angreb
Mistænkelige links eller bilag i e-mails må ikke klikkes på.
I tvivlstilfælde kontakter kunder direkte bexios kundeservice for at bekræfte en modtaget besked.
Hvad man skal gøre, hvis kundeinformationer er blevet videregivet ufrivilligt
Kunder, der har givet deres adgangskode, ændrer denne straks for alle tjenester, hvor de bruger denne. Der bør anvendes en separat, stærk adgangskode til hver online-tjeneste.
Hvis der er tale om et e-mail-adgangskode, der er blevet videregivet ufrivilligt, skal alle adgangskoder til web-tjenesteudbydere, der er forbundet med denne konto, også ændres.
Hvis et finansielt tab er blevet led eller personlige oplysninger ufrivilligt er blevet videregivet, anbefaler det amt for cybersikkerhed BACS at indgive en straffesag til det lokale politi. På Suisse ePolice-hjemmesiden kan man finde de nærmeste politistationer.
bexio råder samtidig alle kunder til proaktivt at kontrollere de gemte IBAN-numre fra leverandører samt sine egne fakturaudkast regelmæssigt.