Oszustwo na prezesa i Business Email Compromise — wyjaśnienie

Niektóre z najkosztowniejszych oszustw obywają się zupełnie bez wirusów i włamań. Opierają się na prostej sztuczce: przekonać pracownika, że pilna prośba pochodzi od zaufanego szefa albo dostawcy. Nazywa się to oszustwem na prezesa, a szerzej — Business Email Compromise (BEC).

Czym są oszustwo na prezesa i BEC?

Business Email Compromise to oszustwo, w którym przestępca podszywa się pod kogoś, komu Twoja firma ufa — członka zarządu, dostawcę, prawnika czy współpracownika — aby skłonić pracownika do przelania pieniędzy lub udostępnienia poufnych informacji.

Oszustwo na prezesa to jego najbardziej znana odmiana. Oszust udaje prezesa albo innego członka kierownictwa i prosi pracownika — często z finansów lub kadr — o pilną płatność albo o przesłanie poufnych danych.

W przeciwieństwie do phishingu masowego te ataki są ukierunkowane i osobiste. Zwykle nie ma w nich groźnego linku ani załącznika i właśnie dlatego przechodzą przez filtry antyspamowe i zaskakują ludzi.

Jak zwykle przebiega to oszustwo

Przestępcy najczęściej najpierw odrabiają pracę domową, czytając informacje publiczne z Waszej strony, mediów społecznościowych i komunikatów prasowych, żeby brzmieć wiarygodnie. Typowy atak wygląda tak:

• Przychodzi e-mail, który zdaje się pochodzić od prezesa, z jego nazwiskiem i stylem pisania.
• Niesie presję czasu i poufność: „Jestem na spotkaniu, potrzebuję, żeby to załatwić szybko i dyskretnie”.
• Prośba dotyczy przelewu środków, zmiany danych bankowych dostawcy albo przesłania dokumentów, na przykład danych płacowych.
• Kolejne wiadomości delikatnie naciskają, żeby pracownik nie zatrzymał się i nie sprawdził.

Chęć przypodobania się osobie z kierownictwa w połączeniu z krótkim terminem sprawia, że to oszustwo jest tak skuteczne.

Częste warianty

• Fałszywa faktura — podrabia się adres dostawcy, żeby poprosić o płatność na nowe konto.
• Przekierowanie wynagrodzenia — wiadomość udaje pracownika chcącego zaktualizować numer konta do wypłaty.
• Oszustwo na karty podarunkowe — „szef” prosi o zakup kart i przesłanie kodów.

Sygnały ostrzegawcze

Większość takich ataków da się wychwycić, zatrzymując się przy kilku szczegółach:

• Zmiana tonu, nietypowe sformułowania albo nieco inny adres e-mail.
• Prośba, która omija normalne procedury — „tylko ten jeden raz, pomiń zwykłą akceptację”.
• Presja, aby działać szybko i po cichu, ze zniechęcaniem do konsultacji.
• Każda zmiana rachunku bankowego lub danych do płatności, zwłaszcza w ostatniej chwili.
• Adres zwrotny, który nie do końca zgadza się z nadawcą.

Proste nawyki, które to powstrzymują

Technologia pomaga, ale najsilniejszą obroną są dobre nawyki:

• Weryfikuj innym kanałem. Przy każdej płatności lub zmianie danych bankowych potwierdź telefonicznie albo osobiście, pod znanym numerem — nigdy odpowiadając na e-mail.
• Stosuj zasadę dwóch akceptacji. Wymagaj podpisu drugiej osoby dla płatności powyżej ustalonej kwoty.
• Zwalniaj przy pośpiechu. Traktuj „pilne i poufne” jako powód do sprawdzenia, nie do biegu.
• Potwierdzaj zmiany danych bankowych u dostawcy przez ustalony kontakt.
• Zadbaj, by pytanie było bezpieczne. Pracownicy powinni czuć się swobodnie, kwestionując prośbę, nawet jeśli wygląda na przychodzącą z góry.

Jeśli coś jest nie tak

Zaufaj instynktowi. Zatrzymanie płatności i potwierdzenie przed działaniem jest całkowicie w porządku. Przy podejrzeniu oszustwa natychmiast powiadom finanse i IT — a jeśli pieniądze już wyszły, od razu zaalarmuj bank: szybka reakcja czasem pozwala odzyskać środki.

Jak pomaga GottaPhish

Oszustwo na prezesa i BEC opierają się na presji czasu i podszywaniu, żeby pracownicy autoryzowali płatności przed weryfikacją — i właśnie tym zajmuje się GottaPhish razem z naszym zespołem ekspertów. Nasze realistyczne symulacje odtwarzają dokładnie te taktyki presji i podszywania, których używają prawdziwi przestępcy, aby pracownicy nauczyli się zatrzymywać i sprawdzać przed działaniem, wspierane praktycznymi szkoleniami i pulpitami pokazującymi, gdzie organizacja jest najbardziej narażona. Nasz zespół wsparcia i ekspertów pracuje z Tobą nad wiarygodnymi scenariuszami, konfiguracją kampanii i interpretacją wyników, zamieniając kosztowny martwy punkt w pewny siebie, dobrze przygotowany zespół.