Podvod s firemným e-mailom (BEC)

Čo to znamená

Podvod s firemným e-mailom, po anglicky business email compromise, je útok, pri ktorom sa podvodník vydáva za niekoho, komu firma dôveruje, a presvedčí ju zaplatiť na svoj účet. Najčastejšie ide o známeho dodávateľa, ktorý „zmenil banku“, alebo o konateľa, ktorý na cestách súrne potrebuje odoslať platbu.

Na rozdiel od masového phishingu je útok cielený a trpezlivý. Útočník často najprv získa prístup k skutočnej schránke dodávateľa alebo firmy, týždne číta korešpondenciu a potom pošle správu v správnom tóne, v pravej konverzácii a s reálnou faktúrou, na ktorej je zmenené len číslo účtu.

Ide o formu sociálneho inžinierstva: útok nezneužíva chybu v technike, ale dôveru, zhon a rešpekt k autorite. Preto ho nezastaví ani najlepší antivírus, ak človek na druhej strane nemá jasný postup, ako takú požiadavku overiť.

Ako to funguje v praxi

Pravidlo, ktoré odporúčame každému klientovi: zmena bankového účtu dodávateľa sa vždy overí telefonicky na čísle, ktoré firma už pozná, nie na čísle z e-mailu. Rovnako sa overuje každá nezvyčajná platba „na pokyn konateľa“, najmä ak príde mimo bežného postupu a s časovým tlakom.

Technicky pomáha nastavenie SPF, DKIM a DMARC, ktoré sťažuje falšovanie vlastnej domény, a dvojfaktorové overenie na e-maile, aby ukradnuté heslo nestačilo na ovládnutie schránky. Užitočné je aj upozornenie v pošte na správy od externých odosielateľov.

V účtovníctve sa zmeny bankových údajov dodávateľov evidujú a schvaľujú oddelene od samotných platieb. Kto zadáva platobný príkaz, by nemal byť ten istý človek, ktorý mení číslo účtu v kmeňových dátach, a pri väčších sumách je vhodné druhé schválenie.

Na čo si dať pozor

Pri okamžitej platbe sú peniaze na účte podvodníka za pár sekúnd a ďalej ich presunie skôr, ako si firma chybu všimne. Ak k podvodu dôjde, treba okamžite volať banku, požiadať o zastavenie a vrátenie platby a podať trestné oznámenie, každá hodina rozhoduje.

Strata z podvodu nemusí byť automaticky daňovým výdavkom a poistenie ju kryje len niekedy. Kybernetické poistenie často vylučuje dobrovoľne odoslané platby alebo ich kryje len do nízkeho limitu, preto sa oplatí podmienky preveriť skôr, ako sa niečo stane.