Sąskaitų sukčiavimas: kai laiškas tikras

Trys istorijos, viena schema

Ši pamoka — apie sukčiavimo tipą, kurio neatpažinsite pagal keistą adresą ar rašybos klaidas, nes jų nėra. Vadinasi jis BEC — verslo el. pašto kompromitavimas.

Trys tikri atvejai iš Lietuvos įmonių, anonimizuoti. Schema visuose ta pati. Baigtys — skirtingos. Ir skyrėsi ne technologija.

Pirmas atvejis: sąskaita iš Italijos

Įmonės buhalterė gavo laišką iš Italijos tiekėjo su sąskaita už neseniai gautas paslaugas. Paslauga tikrai suteikta. Su tiekėju dirbama ne pirmus metus.

Laiške — vienas papildomas sakinys: dėl banko sutrikimų pavedimą reikia atlikti kitu sąskaitos numeriu. Pavedimas atliktas.

Po mėnesio tiekėjas paklausė, kodėl sąskaita vis dar neapmokėta.

Kodėl niekas nebūtų padėję

Sukčiai buvo patekę į tiekėjo pašto dėžutę. Jie perimdavo tikrus laiškus ir pakeisdavo vieną laukelį dokumente.

Patikrinkime tą laišką pagal įprastus patarimus:

• Siuntėjo adresas — tikras. Ne panašus, o tas pats.
• Dėžutė ir laiškų gija — tikros.
• Sąskaita — tikra, už realiai atliktą darbą.
• Santykiai — seni, ne pirmas pavedimas.
• Kalba — tvarkinga, be skubos ir grasinimų.

Pasikeitė vienintelis dalykas — sąskaitos numeris.

Kaip sukčiai atsiduria tiekėjo dėžutėje ir kodėl jų niekas nepastebi:

Antras atvejis: laiškas iš vadovo dėžutės

Kito kliento vadovas gavo pranešimą, kad Microsoft 365 paskyroje laukia neperskaitytų svarbių laiškų. Paspaudė, suvedė slaptažodį, suvedė 2FA kodą — ir „kažkas nesuveikė“.

Sukčiai perėmė dėžutę ir dvi savaites tyliai skaitė gaunamus ir siunčiamus laiškus. Tada rado tikrą vadovo susirašinėjimą su buhaltere, jį nukopijavo ir paprašė sumokėti 100 000 eurų pagal išankstinę sąskaitą.

Laiškas atėjo iš tikros vadovo dėžutės, tikroje gijoje, taisyklinga lietuvių kalba ir idealiai nukopijuotu vadovo rašymo stiliumi.

„2FA nesuveikė“ — tai ne klaida

Šį sakinį verta įsiminti visam gyvenimui.

Netikras puslapis realiu laiku perduoda jūsų slaptažodį ir kodą tikram Microsoft, pasiima prisijungimo sesiją ir įleidžia sukčių. Jūs matote „klaidą“ — jis mato jūsų paštą.

Todėl MFA su SMS ar programėlės kodu nėra neperšaunama. Atsparūs tokiai atakai yra tik passkeys arba fiziniai raktai, nes ten nėra kodo, kurį būtų galima perduoti.

Ir todėl po tokio įvykio slaptažodžio pakeisti neužtenka: reikia atšaukti aktyvias sesijas ir patikrinti pašto taisykles — sukčiai dažnai pirmiausia susikuria tylų laiškų persiuntimą.

Kaip baigėsi antras atvejis

Buhalterė dirbo šalia vadovo kabineto. Ji tiesiog užėjo ir paklausė, ar tikrai.

Vadovas nedelsdamas kreipėsi į IT, dėžutė buvo atstatyta, pinigai liko įmonėje.

Palyginkite: pirmu atveju viskas atrodė tvarkinga ir niekas nepaklausė. Antru atveju niekas atakos neatpažino techniškai — tiesiog vienas žmogus nusprendė patikslinti.

Klausimas „ar tikrai tu siuntei?“ yra pigiausia įmonės saugumo priemonė.

Trečias atvejis: 400 000 eurų

Kad nesusidarytų įspūdžio, jog kalbame apie smulkmenas. Stambios Lietuvos įmonės buhalterė pagal tą pačią schemą — pakeistą sąskaitos numerį — pervedė 400 000 eurų.

Pinigų susigrąžinti nepavyko.

Įmonę išgelbėjo tai, kad ji turėjo sukčiavimo (kibernetinių rizikų) draudimą. Frančizė — 50 000 eurų, taigi nuostolis liko, bet vietoj 400 000 jis buvo 50 000.

Trys pamokos iš šio atvejo:

1. Suma nėra apsauga. Kuo įmonė didesnė, tuo didesnis ir pavedimas atrodo normaliai — sukčiai tai žino ir taikosi būtent į tokias.
2. Grąžinti beveik neįmanoma. Pinigai per valandas išskaidomi po kelias sąskaitas užsienyje. Todėl visa viltis — sustabdyti pavedimą tą pačią dieną.
3. Draudimas yra paskutinis, o ne pirmas sluoksnis. Jis nepadeda išvengti atakos, bet paverčia įmonę žlugdantį nuostolį skaudžiu, tačiau pakeliamu.

Ar verta kibernetinių rizikų draudimo?

Trumpai apie tai, ko dažniausiai klausia vadovai:

• Kas dengiama. Priklausomai nuo poliso — sukčiavimu prarastos lėšos, incidento tyrimas, duomenų atkūrimas, veiklos nutrūkimas, teisinė pagalba.
• Frančizė. Dalis nuostolio visada lieka jums. Mažoms įmonėms ji prasideda nuo kelių šimtų eurų, stambioms siekia dešimtis tūkstančių.
• Prieš sudarant polisą draudikas jus patikrina. Praktiškai visi skenuoja įmonės išorinę infrastruktūrą ir reikalauja pataisyti kritines spragas. Tai reiškia, kad be tvarkingo saugumo draudimo tiesiog negausite — arba gausite brangų.
• Draudimas nepakeičia MFA ir procedūrų. Jis yra tam, kas lieka po jų.

Pradėti verta nuo pokalbio su savo draudimo brokeriu ir klausimo: „ar mūsų polise dengiamas pavedimas sukčiams dėl pakeisto sąskaitos numerio?“ — nes ne visi polisai tai dengia, ir būtent šis punktas yra svarbiausias.

Naudingi šaltiniai: Colemont apžvalga apie kibernetinių rizikų draudimą Lietuvoje · BTA kibernetinio saugumo draudimo taisyklės (PDF)

Taisyklė, kuri veikia abiem atvejais

Keičiasi sąskaitos numeris arba prašoma neplanuoto pavedimo → skambink. Anksčiau žinomu numeriu. Ne tuo, kuris nurodytas laiške.

Trisdešimt sekundžių pokalbio. Visada — net jei tiekėjas pažįstamas dešimt metų. Ypač tada, nes būtent tada nekyla įtarimų.

Procedūra per 15 minučių — užrašo AI

Taisyklės veikia tik tada, kai jos užrašytos ir visi jas matė. Užrašyti padės AI — nukopijuokite, įrašykite savo duomenis vietoj laužtinių skliaustų ir nusiųskite:

Padėk man parašyti trumpą, vieno puslapio mokėjimų saugumo procedūrą mūsų įmonei.

APIE MUS
- Veikla ir darbuotojų skaičius: [...]
- Kas ruošia mokėjimus: [pareigos]
- Kas juos tvirtina: [pareigos]
- Kokiu banku naudojamės: [...]

PROCEDŪROJE TURI BŪTI
1. Kaip keičiami tiekėjo rekvizitai: niekada ne el. paštu, patvirtinimas
   skambučiu anksčiau žinomu numeriu, kas ir kur tai užfiksuoja.
2. Suma, virš kurios reikia dviejų žmonių patvirtinimo. Pasiūlyk ribą pagal mūsų dydį.
3. Ką daryti, kai skubus prašymas ateina iš vadovo el. pašto.
4. Ką daryti per pirmą valandą, jei pinigai jau išsiųsti.
5. Vienas sakinys darbuotojams: klausti ir tikrinti yra gerai, net jei prašo vadovas.

EIGA
Pirmiausia užduok man trūkstamus klausimus, po vieną. Tada parodyk juodraštį.
Rašyk lietuviškai, paprastai, be teisinio žargono. Nieko neišgalvok apie mūsų
įmonę — jei trūksta fakto, klausk.

Gautą tekstą atspausdinkite ir duokite pasirašyti visiems, kas ruošia ar tvirtina mokėjimus. Penktas punktas svarbiausias: buhalterė, bijanti „trukdyti vadovui“, yra saugumo spraga. Antrame atvejyje 100 000 eurų išgelbėjo būtent klausimas.

Patikrinkite savo dėžutę per 2 minutes

Perėmę dėžutę, sukčiai pirmiausia pasirūpina, kad jų nepastebėtumėte: susikuria persiuntimą (kiekvienas laiškas keliauja ir jiems) arba taisyklę, kuri paslepia atsakymus — pavyzdžiui, perkelia laiškus su žodžiu „sąskaita“ ar „mokėjimas“ į aplanką, į kurį niekas nežiūri.

Patikrinkite, ar jūsų dėžutėje nėra to, ko nekūrėte:

Radote ką nors keisto? Nufotografuokite ekraną ir nedelsdami praneškite IT. Taisyklė yra įrodymas, pagal kurį nustatoma, kada ir kaip sukčiai pateko. Jei IT greitai nepasiekiamas — išjunkite persiuntimą patys, bet tik padarę nuotrauką.

Ar gali padėti AI?

Iš dalies — ir svarbu žinoti, kur riba.

Gali: įklijuokite laišką (be asmens duomenų) ir paprašykite patikrinti, ar domenas sutampa, ar nėra netikrų raidžių, ar formuluotė neatitinka ankstesnio susirašinėjimo stiliaus. Sukčiams tenka rašyti naujai, todėl tonas dažnai „beveik toks pat“. AI tokį neatitikimą pastebi.

Gali ir kas mėnesį: jei sąskaitas į skaičiuoklę suvedate su AI, tas pats AI palygina šio mėnesio IBAN su praėjusio ir parodo, kurie pasikeitė. Kaip tai padaryti — pamokoje Sąskaitos iš el. pašto tiesiai į skaičiuoklę.

Negali: patvirtinti, kad IBAN priklauso jūsų tiekėjui. Prieigos prie banko duomenų jis neturi, o atsakymas gali skambėti įtikinamai ir būti neteisingas.

Todėl AI yra antra nuomonė prieš skambutį, o ne vietoj jo. Sąskaitos numerį patvirtina tik žmogus telefonu.

Jei pinigai jau pervesti

1. Skambinkite į banką nedelsdami — per pirmas valandas pavedimą kartais dar galima sustabdyti ar atšaukti.
2. Praneškite policijai.
3. Įspėkite tiekėją — greičiausiai perimta jo dėžutė ir aukų yra daugiau.
4. Kreipkitės į IT: sesijų atšaukimas, slaptažodžiai, pašto taisyklės, žurnalai.
5. Nedelskite dėl gėdos. Ši schema apgauna patyrusius žmones — todėl ji ir veikia.

Reikia pagalbos dabar? pagalba@itbroliai.lt · +370 618 05093

Pasitikrinkite

Šeši klausimai apie tai, ką ką tik perskaitėte. Pabaigoje gausite sertifikatą su savo rezultatu.