Kompromitace firemního e-mailu neboli BEC je jeden z nejnákladnějších typů podvodů, kterým firmy čelí. Na rozdíl od phishingu rozesílaného tisícům lidí najednou je BEC cílený. Pachatelé si firmu prověří, zjistí, kdo schvaluje platby, a vytvoří zprávy, které působí naprosto věrohodně.
Často při tom není použit žádný malware ani nedojde k očividnému prolomení zabezpečení. Podvod funguje proto, že je někdo, komu důvěřujete, přesvědčen, aby schválil platbu nebo sdílel citlivé informace — proto se BEC často označuje spíše za podvod založený na důvěře než za technologický podvod.
Může k němu dojít ve firmě jakékoli velikosti. Větší organizace jsou atraktivní kvůli vyšším hodnotám transakcí, ale menší firmy se často stávají terčem právě proto, že mají zavedeno méně formálních kontrol.
Jak to funguje
Podvod obvykle začíná dlouho předtím, než se objeví jakýkoli požadavek na platbu. Pachatelé shromažďují informace z veřejných webových stránek, sociálních sítí, firemních oznámení, vztahů s dodavateli a organizačních struktur a vytvářejí si přehled o tom, jak a kým jsou platby schvalovány.
Poté vytvoří přesvědčivou e-mailovou adresu, nabourají se do skutečné e-mailové schránky nebo se vydávají za někoho, kdo je již zapojen do skutečné transakce. Protože e-mail vypadá jako součást každodenního podnikání, požadavek na platbu často projde bez dalšího ověření.
Některé útoky používají falešné faktury. Jiné požadují změnu bankovních údajů dodavatele. V sofistikovanějších případech podvodníci několik týdnů čtou skutečnou e-mailovou komunikaci, než zasáhnou v nejpřesvědčivějším okamžiku.
Jak to může vypadat
Finanční tým očekává fakturu od pravidelného dodavatele. Několik dní před její splatností přijde e-mail s informací, že dodavatel změnil své bankovní údaje. Načasování působí správně, formulace je známá a požadavek se zdá rozumný — platba tedy proběhne.
O několik týdnů později se skutečný dodavatel ozve s dotazem, proč jeho faktura nebyla uhrazena. Tehdy firma zjistí, že peníze místo toho odešly podvodníkovi. Podvod fungoval proto, že dokonale zapadl do běžného firemního procesu.
Proč tento podvod funguje
BEC je úspěšný díky lidskému chování, nikoli technologiím. Podvodníci zneužívají důvěru, rutinu a naléhavost — když požadavek odpovídá známému vzorci, přirozeně působí jako méně rizikový.
Zaměstnanci nejsou neopatrní. Zpracovávají to, co vypadá jako běžná transakce, protože přesně tak chce podvodník, aby to vypadalo.
Jak chránit firmu
Nejlepší obranou je nezávislé ověření. Nikdy neměňte platební údaje pouze na základě informací v e-mailu — každou změnu potvrďte pomocí kontaktních údajů, které již máte uložené, nikoli pomocí údajů uvedených v samotném požadavku.
Pomáhají také tyto kontrolní mechanismy:
- Dvojí schválení plateb
- Rozdělení povinností
- Platební limity
- Postupy ověřování dodavatelů
- Školení o povědomí o podvodech
- Postup eskalace neobvyklých požadavků
Prevence podvodů funguje nejlépe, když tyto kontrolní mechanismy fungují společně, nikoli samostatně.
Hlavní závěr
Požadavek na platbu může vypadat naprosto legitimně, a přesto být podvodný. Důvěra by nikdy neměla nahradit ověření.
Související články
- Co je podvod s fakturou?
- Co je podvod s dodavatelem?
- Co je podvod vydávající se za generálního ředitele?
- Jak se mohou firmy chránit před podvody s platbami?