Prijevara s lažnim računom izgleda kao obična poruka dobavljača kojemu ste već plaćali, samo je IBAN drugi. Prijevara s lažnim šefom je kratka poruka s imenom direktora i molbom da se uplata obavi danas i bez pitanja. Oba napada ciljaju na proces plaćanja, ne na tehniku, i zato ih zaustavljaju pravila u firmi, a ne samo filtri.
Kako to izgleda u praksi
Lažni račun postojećeg dobavljača
Stiže poruka s izgledom računa koji već poznajete. Isti logotip, ista stavka, isti iznos. Promijenjen je samo IBAN, uz napomenu da je firma promijenila banku. Napadač često čeka nekoliko dana i pošalje „podsjetnik” prije roka plaćanja, da posao ubrza.
Lažni šef
Poruka dolazi u ime vlasnika ili direktora i traži hitnu uplatu. Ton je kratak i ljubazan, uz objašnjenje da je osoba na putu i nedostupna za poziv. Ovdje je cilj autoritet i vremenski pritisak. Zaposlenik koji uplatu radi prvi put obično ne provjerava, jer ne želi ispasti spor.
Presretnut razgovor
Najneugodnija varijanta. Napadač ima pristup nečijem sandučiću, čita razgovor o poslu i uključi se u pravom trenutku, s podacima koje zna samo netko iz razgovora. Ponekad umjesto vaše domene koristi domenu koja se razlikuje u jednom slovu ili nastavku, na primjer vasafirma-hr.com umjesto vasafirma.hr.
Zašto male firme stradaju
Nije stvar u neznanju. Stvar je u tome da u maloj firmi jedna osoba radi ponudu, račun i uplatu, pa nema nikoga da provjeri drugoga. Uz to se preklapa nekoliko okolnosti:
- ista osoba je i prodaja i knjigovodstvo, pa nema podjele odgovornosti
- plaćanja se rade s mobitela, gdje se prava adresa pošiljatelja ne vidi na prvi pogled
- svi znaju sve, pa je poruka „šefe, plati ovo” uobičajena i ne zvuči sumnjivo
- e-mail se koristi s besplatne adrese, pa napadač lako sastavi adresu koja izgleda kao vaša
- lozinke se dijele među kolegama, često one iste koje se koriste i drugdje
Zato je prvi korak zaštite jednostavan: adresa na vlastitoj domeni koju kontrolirate. O tome zašto je to važno i za povjerenje kupaca kolega piše u tekstu zašto poslovni e-mail na vlastitoj domeni.
Pravila u firmi koja ovo zaustave
Ovih šest pravila ne traže nikakvu opremu i mogu se uvesti danas. Napišite ih u jednu poruku i pošaljite svima koji rade s uplatama.
- Promjena IBAN-a se uvijek provjerava telefonom. Broj uzimate iz svoje evidencije ili s ugovora, nikada iz poruke koja traži promjenu.
- Nijedna uplata se ne pokreće samo na temelju e-maila. Za uplate iznad dogovorenog iznosa potrebne su dvije osobe.
- Hitnost je znak za provjeru, ne za brzinu. Poruka koja traži tajnost ili „danas do 15 sati” prvo ide na potvrdu, pa onda na plaćanje.
- Adresa pošiljatelja se čita cijela. Ime u poruci nije adresa. Provjerava se domena nakon znaka @, slovo po slovo.
- Privici i linkovi se ne otvaraju iz neočekivanih poruka. Račun koji nitko nije najavio prvo se provjeri pozivom dobavljaču.
- Svaka osoba ima svoju adresu i svoju lozinku. Zajednički sandučić s dijeljenom lozinkom znači da poslije nitko ne zna tko je što poslao.
Zadnje pravilo ima tehničko rješenje. Adrese službi kao racuni@ i info@ ne moraju biti zajednički sandučić s jednom lozinkom. Postavite ih kao alias ili grupnu adresu, pa poruke stižu pravim ljudima u njihove sandučiće. Grupne adrese ulaze u pakete od Tima nadalje, a što koji paket nosi vidite na stranici cijene.
Što e-mail sustav provjerava umjesto vas
Dio provjera radi poslužitelj, bez vašeg sudjelovanja. Kad domena radi kod nas, na njoj su postavljeni SPF (popis poslužitelja koji smiju slati u ime domene), DKIM (digitalni potpis svake poruke) i DMARC (uputa primatelju što s porukom koja ne prođe provjeru). Naša zadana DMARC postavka je karantena, pa poruka koja se predstavlja kao vaša, a nije potpisana, kod primatelja završava u neželjenoj pošti.
Uz to radi nekoliko stvari koje su vidljive tek kad ih nema:
- filtriranje spama i zlonamjernog softvera prije nego poruka stigne do vas, a sumnjive poruke idu u karantenu
- u webmailu se poruka prikazuje bez skripti, a vanjske slike su blokirane, pa napadač ne vidi da ste poruku otvorili
- ograničenja odlazne pošte po sandučiću, da ukradena lozinka ne postane izvor tisuća poruka s vaše domene
- jake lozinke koje generiramo mi, uz jednokratni link za postavljanje uređaja, pa lozinka ne putuje u e-mailu
- dnevna provjera je li naš poslužitelj na listama spama, jer to utječe na sve korisnike
Postoji i granica koju je važno znati. Zapisi na vašoj domeni štite vašu domenu. Oni ne mogu spriječiti da napadač registrira sličnu domenu i s nje pošalje poruku, uredno potpisanu svojim ključem. Tehnički je takva poruka ispravna, a lažna je po sadržaju. Zato ostaje pravilo iz prethodnog poglavlja: domena se čita slovo po slovo, a IBAN se provjerava telefonom.
Znakovi koje vrijedi provjeriti prije klika
Poruke ove vrste najčešće se odaju na tri mjesta: u adresi, u odgovoru i u privitku. Provjera traje manje od minute.
- Adresa pošiljatelja. Pročitajte cijelu domenu, ne samo ime koje je prikazano. Zamijenjeno slovo, dodana crtica ili drugi nastavak su najčešći trik.
- Adresa za odgovor. Kad kliknete „Odgovori”, pogledajte kome poruka zapravo ide. Ako se ta adresa razlikuje od pošiljatelja, to je razlog za poziv.
- Privitak koji nešto traži. Dokument koji traži da omogućite sadržaj ili da se prijavite kako biste ga vidjeli nije račun.
- Sitne razlike u iznosu i tekstu. Napadač često prepisuje stari račun, pa ostane stara stavka, stari datum ili iznos koji se ne poklapa s ponudom.
- Nova adresa u poznatom razgovoru. Kad se usred dopisivanja kolega javi s druge adrese, to je trenutak za provjeru, a ne za nastavak razgovora.
Na mobitelu je prava adresa najčešće skrivena iza imena, pa dodirnite ime pošiljatelja i pročitajte što piše iza znaka @. Ako se poruka i nakon svega čini ispravnom, a traži novac, ostaje pravilo koje vrijedi uvijek: potvrda glasom, na broj koji ste imali od prije.
Što učiniti kad se prijevara već dogodila
- Odmah nazovite banku i zatražite povrat ili zaustavljanje uplate. Prvi sati su najvažniji.
- Promijenite lozinku sandučića s kojeg je poruka poslana i lozinke svih koji su je dijelili.
- Provjerite pravila prosljeđivanja. Napadači često ostave tiho prosljeđivanje kopije pošte na svoju adresu. U računu su aliasi i prosljeđivanje na jednom popisu, pa se nepoznato pravilo lako uoči i ukloni.
- Sačuvajte izvornu poruku sa zaglavljem. Ona sadrži podatke o putu poruke koji trebaju banci i policiji.
- Prijavite slučaj policiji i obavijestite dobavljača ili kupca čije je ime zloupotrijebljeno.
Ako sumnjate da je sandučić bio otvoren nekome drugome, uz promjenu lozinke pregledajte i uređaje na kojima je adresa postavljena. Kako se adresa postavlja i briše po uređaju piše na stranici upute.
Česta pitanja
Može li sustav prepoznati lažni račun u privitku?
Filtri prepoznaju zlonamjerne privitke i poznate uzorke prijevara, ali PDF s drugim IBAN-om tehnički je običan dokument. Zato uplate ostaju na provjeri kod ljudi.
Pomaže li dvostruka potvrda prijave?
Pomaže protiv ukradene lozinke, koja je najčešći početak presretnutog razgovora. Uz nju držite svaku osobu na svojoj adresi i lozinkama koje se ne koriste nigdje drugdje.
Napadač koristi domenu sličnu našoj. Što možemo?
Obavijestite kupce i dobavljače koja je vaša prava domena i tražite da provjere adresu. Ako je slična domena slobodna, razmislite o registraciji varijante koju bi napadač uzeo; .hr i .com registriramo za 20 eura godišnje.
Otvorite adrese na svojoj domeni i pustite sustav da provjerava ono što se provjeriti može, na stranici za otvaranje e-maila.