Kompromitácia firemného e-mailu, alebo BEC, je jedným z najnákladnejších typov podvodov, ktorým čelia firmy. Na rozdiel od phishingu, ktorý sa naraz odošle tisícom ľudí, je BEC cielený. Páchatelia si o firme zhromažďujú informácie, zisťujú, kto schvaľuje platby, a vytvárajú správy, ktoré pôsobia úplne dôveryhodne.
Často pri tom nie je použitý žiadny malvér ani nedochádza k zjavnému hackerskému útoku. Podvod funguje preto, že dôveryhodnú osobu presvedčia, aby schválila platbu alebo zdieľala citlivé informácie — preto sa BEC často označuje skôr za podvod založený na dôvere než za technologický podvod.
Môže sa to stať firme akejkoľvek veľkosti. Väčšie organizácie sú atraktívne pre vyššie hodnoty transakcií, no menšie firmy sú často terčom práve preto, že majú zavedených menej formálnych kontrol.
Ako to funguje
Podvod sa zvyčajne začína dlho predtým, než sa objaví akákoľvek žiadosť o platbu. Páchatelia zhromažďujú informácie z verejných webových stránok, sociálnych médií, firemných oznámení, vzťahov s dodávateľmi a organizačných schém a vytvárajú si obraz o tom, ako a kým sa platby schvaľujú.
Potom vytvoria presvedčivú e-mailovú adresu, získajú prístup k skutočnej e-mailovej schránke alebo sa vydávajú za niekoho, kto je už zapojený do skutočnej transakcie. Keďže e-mail vyzerá ako súčasť bežnej obchodnej komunikácie, žiadosť o platbu často prejde bez ďalšieho overenia.
Niektoré útoky používajú falošné faktúry. Iné žiadajú o zmenu bankových údajov dodávateľa. V sofistikovanejších prípadoch podvodníci celé týždne čítajú skutočné e-mailové vlákna a zasiahnu až v najpresvedčivejšom okamihu.
Ako to môže vyzerať
Finančný tím očakáva faktúru od pravidelného dodávateľa. Niekoľko dní pred jej splatnosťou príde e-mail s informáciou, že dodávateľ zmenil svoje bankové údaje. Načasovanie pôsobí správne, znenie je známe a žiadosť sa zdá byť odôvodnená — platba teda prejde.
O niekoľko týždňov sa skutočný dodávateľ ozve s otázkou, prečo jeho faktúra nebola uhradená. Vtedy firma zistí, že peniaze boli odoslané podvodníkovi. Podvod fungoval preto, že sa dokonale začlenil do bežného obchodného procesu.
Prečo tento podvod funguje
BEC je úspešný vďaka ľudskému správaniu, nie technológiám. Podvodníci zneužívajú dôveru, rutinu a naliehavosť — keď žiadosť zapadá do známeho vzorca, prirodzene pôsobí ako menej riziková.
Pracovníci nie sú neopatrní. Spracúvajú to, čo vyzerá ako bežná transakcia, pretože presne tak to chce podvodník prezentovať.
Ako chrániť svoju firmu
Najúčinnejšou ochranou je nezávislé overenie. Nikdy nemeňte platobné údaje iba na základe informácií v e-maile — každú zmenu overte pomocou kontaktných údajov, ktoré už máte uložené, nie pomocou údajov uvedených v samotnej žiadosti.
Ďalšie užitočné kontroly:
- Dvojité schválenie platieb
- Rozdelenie povinností
- Platobné limity
- Postupy overovania dodávateľov
- Školenia o podvodoch
- Proces eskalácie neobvyklých žiadostí
Prevencia podvodov funguje najlepšie vtedy, keď tieto kontroly fungujú spoločne, nie samostatne.
Hlavné posolstvo
Žiadosť o platbu môže vyzerať úplne legitímne a napriek tomu môže ísť o podvod. Dôvera by nikdy nemala nahradiť overenie.
Súvisiace články
- Čo je fakturačný podvod?
- Čo je podvod súvisiaci s dodávateľmi?
- Čo je podvod vydávajúci sa za generálneho riaditeľa?
- Ako sa môžu firmy chrániť pred platobnými podvodmi?