Račun prispe ob običajni uri, od znanega dobavitelja, z znanim logotipom in pričakovanim zneskom. Spremenjena je le številka računa na dnu strani. Prestrezeni računi po elektronski pošti so ena najdražjih oblik spletnega kriminala, po angleško se taka prevara imenuje BEC (business email compromise). FBI-jev center IC3 je za leto 2023 zabeležil okoli 2,9 milijarde dolarjev škode samo zaradi teh goljufij.
Kako napadalec sploh pride do računa?
Začne se z vdorom v en e-poštni predal, dobaviteljev ali kupčev. Običajno gre za lažno prijavno stran za Microsoft 365 ali Google, ki ukrade geslo ali celo sejni piškot, in ta zaobide dvostopenjsko preverjanje.
Potem napadalec čaka, včasih več tednov. Bere pogovore, spoznava ritem plačil, ton sporočil in imena ljudi v računovodstvu. V predalu nastavi skrito pravilo, ki sporočila z besedami „IBAN“, „račun“ ali „plačilo“ preusmeri v mapo, kamor lastnik nikoli ne pogleda.
Primer korak za korakom
Izmišljen, a tipičen potek prestrezanja računov po elektronski pošti: manjše celjsko podjetje vsak mesec dobi račun za material od stalnega dobavitelja. Napadalec je v dobaviteljevem predalu že tri tedne.
- Ko dobavitelj izda račun, napadalec sporočilo prestreže, še preden ga dobavitelj pošlje, ali pa ga kopira iz poslanih.
- PDF odpre v urejevalniku in zamenja IBAN. Pisava, logotip, QR koda in znesek ostanejo enaki.
- Račun pošlje naprej iz vdrtega predala v isto nit ali z domene, ki se od prave razlikuje za eno črko, na primer z veliko I namesto male l.
- Računovodkinja vidi znano nit in znan znesek ter plačilo odobri. Denar odide na račun, ki ga napadalec upravlja prek tuje ali digitalne banke, in v nekaj urah gre naprej.
Napako odkrijeta šele čez dva tedna, ko dobavitelj pošlje opomin.
Po čem se to prepozna?
Posamezen znak je lahko nedolžen. Nevarna je kombinacija.
Najbolj zgovoren je IBAN. Če je dobavitelj doslej imel SI56, nenadoma pa se pojavi DE, LT ali ES, to ni naključje. Sumljivo je tudi ime imetnika računa, ki ne ustreza podjetju na računu, če ga banka ob vnosu sploh prikaže.
Sledijo besedila, ki opravičujejo spremembo: „zaradi revizije smo zamenjali banko“, „stari račun je začasno blokiran“. Pogosto jih spremlja pritisk, naj se plača še danes.
Namig v samem PDF-ju
Lastnosti dokumenta včasih izdajo posredovanje. Če je datum zadnje spremembe kasnejši od datuma izdaje ali je kot program naveden urejevalnik PDF in ne računovodski program, je to razlog za dvom. Drobna razlika v pisavi okoli številke računa je še eden.
Edino zanesljivo pravilo
Vsako spremembo IBAN-a je treba potrditi s klicem na telefonsko številko, ki je v pogodbi ali na spletni strani dobavitelja. Ne na tisto iz sporočila in ne z odgovorom na isto nit, ker lahko na drugi strani bere napadalec. Veliko podjetij to zapiše v interni postopek: sprememba podatkov o prejemniku plačila zahteva dve osebi in en klic.
Prvih deset minut po sumljivem nakazilu
Hitrost odloča. Na prvem mestu je banka, ne policija.
- Pokličite banko. Zahtevajte takojšen preklic nakazila (recall) in prosite za stik z njihovo službo za goljufije. Pri SEPA nakazilih običajno velja rok deset bančnih dni za zahtevek zaradi goljufije, a uspeh je največji v prvih urah, preden se denar razprši.
- Napadalcu ne odgovarjajte. Sporočila, v katerem je račun prispel, ne brišite, ker je dokaz.
- Pokličite dobavitelja na znano številko. Pisati na isti e-poštni naslov ni smiselno, ker je predal verjetno vdrt. Dobavitelj mora takoj zamenjati geslo, odjaviti vse aktivne seje in preveriti pravila za preusmerjanje pošte.
- Preglejte lasten predal, ali vsebuje nepoznana pravila in prijave z neobičajnih lokacij.
- Primer prijavite policiji in odzivnemu centru SI-CERT, najbolje z izpisom nakazila in celotnim e-poštnim sporočilom z glavami.
Zakaj so napadi tako uspešni?
Ker od napadalca ne zahtevajo nič razen potrpljenja. Ni sumljive priponke, ni čudne slovnice, ni neznanega pošiljatelja. Napadalec se skrije v poslovno zaupanje, ki je že vzpostavljeno. Obramba pred prestrezenimi računi po elektronski pošti zato ne more temeljiti na občutku, da je sporočilo videti pristno. Potrebuje postopek, ki velja ne glede na to, kako pristno je videti.
