Ettevõtte e-posti kompromiteerimine ehk BEC on üks kulukamaid pettuseliike, millega ettevõtted kokku puutuvad. Erinevalt andmepüügist, mida saadetakse korraga tuhandetele inimestele, on BEC suunatud konkreetsetele sihtmärkidele. Kurjategijad uurivad ettevõtet, selgitavad välja, kes makseid kinnitab, ning koostavad sõnumeid, mis näivad täiesti ehtsad.
Sageli ei kasutata pahavara ega toimu ilmset häkkimist. Pettus toimib, sest kedagi usaldusväärset veenetakse makset kinnitama või tundlikku teavet jagama — seetõttu nimetatakse BEC-i sageli tehnoloogiapettuse asemel usalduspettuseks.
See võib juhtuda igas suuruses ettevõttega. Suuremad organisatsioonid on atraktiivsed suuremate tehingusummade tõttu, kuid väiksemaid ettevõtteid sihitakse sageli just seetõttu, et neil on vähem ametlikke kontrollimehhanisme.
Kuidas see toimib
Pettus algab tavaliselt juba ammu enne maksetaotluse ilmumist. Kurjategijad koguvad teavet avalikelt veebisaitidelt, sotsiaalmeediast, ettevõtte teadaannetest, tarnijasuhetest ja organisatsiooniskeemidest, luues pildi sellest, kuidas ja kelle poolt makseid kinnitatakse.
Seejärel loovad nad veenva e-posti aadressi, võtavad üle päris postkasti või esinevad kellegi teisena, kes on juba seotud ehtsa tehinguga. Kuna e-kiri näib olevat osa igapäevasest äritegevusest, läheb maksetaotlus sageli läbi ilma täiendava kontrollita.
Mõne ründe puhul kasutatakse võltsarveid. Teistel juhtudel palutakse muuta tarnija pangaandmeid. Keerukamatel juhtudel loevad petturid päris e-kirjavahetust nädalaid, enne kui sekkuvad kõige veenvamal hetkel.
Kuidas see võib välja näha
Finantsmeeskond ootab püsivalt tarnijalt arvet. Mõni päev enne maksetähtpäeva saabub e-kiri, milles teatatakse, et tarnija on oma pangaandmeid muutnud. Ajastus tundub õige, sõnastus tuttav ja taotlus mõistlik — seega tehakse makse ära.
Nädalaid hiljem võtab päris tarnija ühendust ja küsib, miks tema arvet pole tasutud. Siis avastab ettevõte, et raha läks hoopis kurjategijale. Pettus õnnestus, sest see sulandus sujuvalt tavapärasesse äriprotsessi.
Miks see pettus toimib
BEC õnnestub inimkäitumise, mitte tehnoloogia tõttu. Petturid kasutavad ära usaldust, rutiini ja kiireloomulisust — kui taotlus sobitub tuttava mustriga, tundub see loomulikult väiksema riskiga.
Töötajad ei ole hooletud. Nad töötlevad seda, mis näib tavalise tehinguna, sest just sellisena soovib pettur seda näidata.
Ettevõtte kaitsmine
Kõige tõhusam kaitse on sõltumatu kontrollimine. Ärge muutke maksejuhiseid ainult e-kirjas esitatud teabe põhjal — kinnitage kõik muudatused, kasutades juba teie käsutuses olevaid kontaktandmeid, mitte taotluses esitatud andmeid.
Abiks on ka järgmised kontrollimeetmed:
- Maksete kahekordne kinnitamine
- Tööülesannete lahusus
- Maksepiirangud
- Tarnijate kontrollimise kord
- Pettusteadlikkuse koolitus
- Ebatavaliste taotluste eskaleerimise protsess
Pettuste ennetamine toimib kõige paremini siis, kui need kontrollimeetmed toimivad koos, mitte eraldi.
Peamine järeldus
Makse taotlus võib näida täiesti õiguspärane ja olla siiski pettus. Usaldus ei tohiks kunagi asendada kontrollimist.
Seotud artiklid
- Mis on arvepettus?
- Mis on tarnijapettus?
- Mis on tegevjuhi pettus?
- Kuidas saavad ettevõtted end maksepettuste eest kaitsta?