Ý tưởng chính của tội phạm tấn công xâm nhập email kinh doanh (Business Email Compromise - BEC) khá đơn giản: chiếm đoạt mật khẩu email của một người quan trọng trong tổ chức, đọc tất cả email của họ, tìm hiểu cách họ hoạt động, tìm hiểu xem công ty đang làm gì và tìm hiểu khi nào các khoản thanh toán lớn xuất hiện hoặc chuyển ra ngoài, sau đó giả mạo người có email bị xâm phạm để gửi thư cho các nhân viên khác, cũng như các chủ nợ và người nợ. Do đó, kiểu tấn công này đôi khi còn được gọi là gian lận CEO hoặc lừa đảo CFO vì đó là những người mà giả mạo thư của họ có thể đem mang lại kết quả tốt nhất cho kẻ gian.
Theo một báo cáo mới đây của Trung tâm an ninh mạng quốc gia Anh có tiêu đề "Các nguy cơ trên mạng với các tổ chức thể thao" (The Cyber Threat to Sports Organisations), tội phạm đã sử dụng kiểu tấn công BEC khá thành công để lừa được 1 triệu bảng từ một đội bóng thuộc giải ngoại hạng Anh. Việc đội bóng đó không bị mất tiền chỉ do một sự việc ngoài ý muốn của những kẻ tấn công. Thời gian chuyển nhượng khá ngắn và các cuộc đàm phán chuyển nhượng rất phức tạp, do đó, một khoản thanh toán không được thực hiện ở bước cuối cùng có thể phá hỏng một thỏa thuận đã diễn ra trong nhiều tháng. Chính điều đó đã khiến cho các đội bóng thường rất sốt sắng chuyển tiền ngay sau khi đạt thỏa thuận.
Giám đốc điều hành của đội bóng được giấu tên đã là nạn nhân của một cuộc lừa đảo nhắm mục tiêu. Khi ông nhấp chuột vào liên kết trong một email gửi tới, ông liền được chuyển tới một trang đăng nhập Office 365 giả, lừa nhập tên tài khoản và mật khẩu truy cập hòm thư điện tử. Sau khi có được thông tin đăng nhập thư điện tử của vị giám đốc, tội phạm mạng đã âm thầm theo dõi các cuộc trao đổi của ông.
Khi câu lạc bộ của ông ta đồng ý nhận chuyển nhượng cầu thủ từ một câu lạc bộ châu Âu với giá trị 1 triệu bảng Anh, tội phạm đã nắm được thông tin và tìm cách kiếm lợi. Chúng giả danh vị giám đốc để trao đổi với câu lạc bộ châu Âu, đồng thời tạo một tài khoản thư điện tử giả đóng vai người của câu lạc bộ châu Âu trao đổi với ông ta. Như thế, cả hai câu lạc bộ đều nghĩ họ đang trao đổi với nhau trong khi thực ra họ đang trao đổi với tội phạm mạng.
Sau khi đạt được thỏa thuận, bọn tội phạm gửi một thông báo yêu cầu thanh toán tới số tài khoản ngân hàng mà chúng kiểm soát cho vị giám đốc điều hành của câu lạc bộ bóng đá Anh. Giao dịch đã được phê duyệt nhưng may mắn là tiền chưa bị chuyển đi. Do tài khoản của tội phạm mạng đã có dấu hiệu gian lận từ trước nên ngân hàng đã từ chối thực hiện khoản thanh toán. Câu lạc bộ Anh đó đã rất may mắn khi không bị mất 1 triệu bảng mà họ đồng ý chuyển cho tội phạm.
Vụ lừa đảo này chưa phải là vụ có số tiền đặc biệt lớn, nhưng nó là cảnh báo cho thấy tội phạm đã nhắm tới cả những nạn nhân đặc thù như các câu lạc bộ bóng đá. Trong ba năm (từ 2013 đến 2015), một người đàn ông Lithuania tên là Rimasauskas đã gửi thư điện tử giả mạo công ty Quanta tới Google và Facebook để lừa số tiền lên tới 123 triệu USD. Tuy thời gian, địa điểm, số tiền và tính chất của các giao dịch khác nhau, nhưng một điểm chung rất rõ của các cuộc tấn công lừa đảo qua thư điện tử có số tiền lớn là tội phạm đều biết được khá nhiều thông tin của nạn nhân. Ngoài các kênh thu thập thông tin khác, thư điện tử là một kênh khá hữu hiệu và tội phạm ngày nay đã biết ẩn mình sau khi có được thông tin đăng nhập, chờ đợi đến thời điểm thích hợp mới ra tay.
