Kompromitacija poslovne e-pošte, odnosno BEC, jedna je od najskupljih vrsta prijevare s kojima se poduzeća suočavaju. Za razliku od krađe identiteta koja se istodobno šalje tisućama ljudi, BEC je ciljan. Kriminalci istražuju poduzeće, utvrđuju tko odobrava plaćanja i sastavljaju poruke koje izgledaju potpuno vjerodostojno.
Često nema zlonamjernog softvera ni očitog hakiranja. Prijevara uspijeva zato što se nekoga kome se vjeruje nagovori da odobri plaćanje ili podijeli osjetljive informacije — zbog čega se BEC često naziva prijevarom povjerenja, a ne tehnološkom prijevarom.
To se može dogoditi poduzeću bilo koje veličine. Veće su organizacije privlačne zbog većih vrijednosti transakcija, ali manja su poduzeća često na meti upravo zato što imaju manje formalnih kontrola.
Kako funkcionira
Prijevara obično počinje mnogo prije nego što se pojavi bilo kakav zahtjev za plaćanje. Kriminalci prikupljaju informacije s javnih web-mjesta, društvenih mreža, iz objava poduzeća, odnosa s dobavljačima i organizacijskih shema te stvaraju sliku o tome kako se plaćanja odobravaju i tko ih odobrava.
Zatim stvaraju uvjerljivu adresu e-pošte, kompromitiraju stvarni poštanski sandučić ili se predstavljaju kao netko tko je već uključen u legitimnu transakciju. Budući da e-poruka izgleda kao dio svakodnevnog poslovanja, zahtjev za plaćanje često prođe bez dodatne provjere.
Neki napadi koriste lažne račune. U drugima se traži promjena bankovnih podataka dobavljača. U složenijim slučajevima prevaranti tjednima čitaju stvarne nizove e-pošte prije nego što se uključe u najuvjerljivijem trenutku.
Kako to može izgledati
Financijski tim očekuje račun od redovitog dobavljača. Nekoliko dana prije njegova dospijeća stiže e-poruka u kojoj piše da je dobavljač promijenio svoje bankovne podatke. Vrijeme slanja djeluje prikladno, formulacija je poznata, a zahtjev se čini razumnim — pa se plaćanje izvršava.
Tjednima kasnije stvarni dobavljač javlja se s pitanjem zašto njegov račun nije plaćen. Tada poduzeće otkriva da je novac umjesto toga otišao kriminalcu. Prijevara je uspjela jer se neprimjetno uklopila u uobičajeni poslovni proces.
Zašto ova prijevara uspijeva
BEC uspijeva zbog ljudskog ponašanja, a ne tehnologije. Prevaranti iskorištavaju povjerenje, rutinu i hitnost — kada se zahtjev uklapa u poznati obrazac, prirodno djeluje kao manje rizičan.
Zaposlenici nisu nemarni. Obrađuju ono što izgleda kao obična transakcija, jer upravo tako prevarant želi da izgleda.
Zaštita poduzeća
Najjača je obrana neovisna provjera. Nikada ne mijenjajte upute za plaćanje samo na temelju informacija u e-poruci — svaku promjenu potvrdite koristeći se kontaktnim podacima koje već imate evidentirane, a ne podacima navedenima u samom zahtjevu.
Ostale korisne kontrole:
- Dvostruko odobrenje plaćanja
- Razdvajanje dužnosti
- Pragovi za plaćanja
- Postupci provjere dobavljača
- Obuka o svjesnosti o prijevarama
- Postupak eskalacije za neuobičajene zahtjeve
Sprječavanje prijevara najbolje funkcionira kada ove kontrole djeluju zajedno, a ne pojedinačno.
Ključna poruka
Zahtjev za plaćanje može izgledati potpuno legitimno, a ipak biti lažan. Povjerenje nikada ne smije zamijeniti provjeru.
Povezani članci
- Što je prijevara s računima?
- Što je prijevara dobavljača?
- Što je prijevara direktora?
- Kako se poduzeća mogu zaštititi od prijevara pri plaćanju?