Te priče događaju se gotovo uvijek po istom scenariju: netko, u poduzeću zadužen za financije, dobije poruku e-pošte, pismo ili poziv telefonom u kojoj ga osoba koja se pretvara da predstavlja dobavljača, davatelja neke usluge ili vjerovnika, traži da plati neku uslugu ili obavljeni posao, no na neki drugi račun, a ne na onaj na koji su išle prethodne uplate. I onda, tjedan, dva ili mjesec dana kasnije, onaj kome je račun trebao biti plaćen nazove i pita - što je s plaćanjem? Što se tu dogodilo? Umjesto onome kome ste dužni, novac je otišao nekom drugom. Kriminalcu. Kibernetički stručnjaci taj oblik internetskog napada nazivaju napadom presretanjem poruka poslovne pošte (BEC - Business Email Compromise.)
U jednom nedavnom primjeru takvog napada, izvedenog na jednu domaću tvrtku kriminalci su iskoristili lozinku za pristup privatnoj adresi e-pošte jednog menadžera, koju su nabavili na tamnoj strani interneta (dark web) i s njom su upali u sandučić poslovne adrese e-pošte te osobe, jer je taj direktor koristio istu lozinku za svoju privatnu i za svoju poslovnu adresu e-pošte. Prateći korespondenciju na tim adresama kroz duže vremensko razdoblje, uočili su da se bliži veća novčana transakcija te su tehnikama socijalnog inženjeringa, naslanjajući se na postojeće poruke, uspjeli uvjeriti žrtvu kako je potrebno izvršiti neke promjene u načinu plaćanja. Financijska šteta u tom slučaju, bila je iznimno velika.
Kako se zaštititi?
Kao i kod ostalih načina komunikacije u digitalno doba, i ovdje postoje osnova pravila kojih se treba pridržavati. Prvo i najvažnije: vjerodostojnost poslovne korespondencije treba stalno provjeravati. Ljudi koji su u tvrtkama zaduženi za plaćanja ili ljudi u knjigovodstvenim servisima koje su tvrtke angažirale da za njih obavljaju taj dio poslovanja, moraju - u svakom pojedinom slučaju u kojem ih netko obavještava da je u međuvremenu došlo do promjene banke i računa na koji je potrebno izvršiti uplatu, prije nego što izvrše uplatu - putem telefona i-ili video konferencijskog poziva uvijek provjeriti vjerodostojnost i istinitost takve poruke.
CYBER KRIMINALCI OBOŽAVAJU BLAGDANE. NAUČITE SE ZAŠTITITI!
Dakle, uvedite obavezan postupak za provjeru vjerodostojnosti zahtjeva za plaćanjem. To može biti pravilo za svaku transakciju ili bar za isplate iznad određenog iznosa. Ako treba, zatražite i sastanak s odgovornom osobom iz tvrtke kojoj ste dužni. Ukoliko ustanovite da je riječ o prijevari, čak i kad sami niste žrtva, morate o tome odmah obavijestiti policiju, hrvatski CERT, ali i stručnjake za kibernetičku sigurnost. Pobrinite se i da svi zaposlenici budu obaviješteni o ovoj vrsti prijevare i upućeni u to kako ih izbjeći.
Nekoliko stvari možete napraviti i prije. Pozorno pročitajte poruku kako biste shvatili što od vas traži. Zatim, razmislite. Je li nešto u toj poruci neuobičajeno? Navodi li vas na nešto što ne radite svaki dan? Čak i ako je nešto što radite svaki dan - stanite i pogledajte ima li u poruci koju ste dobili nešto što odstupa od poruka koje inače dobivate? To može biti zatipak (tipfeler) u tekstu. Ili - nedostatak zatipaka u poruci od osobe za koju znate da tu i tamo zamijeni redoslijed nekih slova u riječima. Provjerite sve podatke koji su došli s porukom koja traži izmjenu načina plaćanja.
Sumnjivo 'na prvu'
Odredite osobe koje će biti jedinstvene kontakt točke za rad s tvrtkama kojima redovito plaćate usluge i proizvode. Pošaljite poruku e-pošte tvrtki kojoj trebate platiti račun (na kontakt podatke iz prethodnih poruka e-pošte, a ne iz ove koja izgleda sumnjivo). Navedite u toj poruci naziv banke i posljednje četiri znamenke računa na koji trebate uplatili traženi iznos, kao dodatnu mjeru sigurnosne provjere. Ima još pokazatelja, no u svakoj takvoj poruci uvijek ima i nešto što vam je "na prvu" sumnjivo, što vam odmah izaziva nelagodu, aktivira instinkte i izaziva oprez.
Problem s pristupom koji kaže da morate uočiti probleme u poruci e-pošte, nije samo u uočavanju tih problema. Svaki dan dobivamo poruke koje su neobične, no prave. Šef može imati loš dan i poslati poruku kakve inače ne šalje. Neki odjel u firmi promjeni proceduru kojom obavlja posao za koji je zadužen i pošalje vam poruku da nešto za njih trebate obaviti, a nisu vam rekli za promjenu procedure. I tako dalje. Niti jedna poruka e-pošte nije savršena. I svaka, potencijalno, može biti lažnjak kojim vas netko želi upecati.
CYBER KRIMINALCI OBOŽAVAJU BLAGDANE. NAUČITE SE ZAŠTITITI!
Drugim riječima, oprez i instinkt koji vas upozorava na opasnost su nužni ali ne još i dovoljni za zaštitu od prijevare. Pravila sigurnosne zaštite treba stalno primjenjivati, a samoobranu treba periodički dodatno uvježbavati. Treba steći nešto iskustva u prepoznavanju lažnih poruka e-pošte i, kao u svakoj borbi - dobro je potražiti i pomoć stručnjaka.
Pomno pripreman zločinački pothvat
Da bi prijevara koja se u svijetu kibernetičke zaštite stručnog naziva business email compromise uspjela, treba je dobro pripremiti. Prvo što kibernetičkim kriminalcima za to treba su informacije o ljudima i procedurama u tvrtki koju su izabrali kao metu. Kako do njih dolaze? Već smo spomenuli: socijalnim inženjeringom. Pregledaju internetske stranice tvrtke, njene profile i profile tvrtkinih zaposlenika na društvenim mrežama. Tako saznaju ime i adresu točno određene osobe i druge informacije koje im mogu poslužiti za osmišljavanje napada. Nakon toga, slijedi tehnički dio. Ista lozinka na adresi privatne i poslovne e-pošte u situaciji koju smo opisali, početnička je pogreška za čije iskorištavanje i nije trebalo pretjerane tehničke vještine.
Međutim, napadi presretanjem poslovne komunikacije vrlo su rijetko djelo pojedinca. To je organizirani zločinački pothvat. Kriminalci međusobno surađuju i razmjenjuju informacije, upadaju u sustave, prate tko s kime razgovara, kradu vjerodajnice, analiziraju sve čime se tvrtka bavi i procjenjuju koliko bi velik mogao biti plijen, to jest, koliko će napadnuta tvrtka biti spremna platiti. Pošalju poruku e-pošte u koju su potajno instalirali zloćudni softver koji, kad se aktivira (poveznicom na opasnu internetsku stranicu ili klikom na privitak u kojoj je datoteka s tim softverom) proslijedi sve poruke iz mape s poslanim porukama - ravno do elektroničkog poštanskog sandučića kojeg je za tu svrhu kreirao napadač.
Nakon analize tih poruka, kao što smo uvodno već opisali, haker dizajnira lažnu poruku tako da žrtva teško može ustanoviti kako je riječ o poruci koja nije došla od osobe s kojom inače komunicira u vezi plaćanja računa toj drugoj tvrtki. Zloćudni softver koji služi za izvedbu ovakvih napada iznimno je sofisticiran, a hakeri se oko toga trude i dodatno, obrađujući ga tako kako bi bili sigurni da ga većina antivirusnih programa neće prepoznati - ili za taj napad koriste neke druge alate (primjerice, neki od alata za udaljeno upravljanje računalima) koje antivirusni programi neće prepoznati kao prijetnju.
CYBER KRIMINALCI OBOŽAVAJU BLAGDANE. NAUČITE SE ZAŠTITITI!
Sponzorirani sadržaj nastao u suradnji Native Ad Studija Hanza Medije i Hrvatske udruge banaka.