„Nevinný“ e-mail může firmy připravit o miliony. Pandemie problém jen zhoršila

Internetových podvodů směřovaných proti firmám existuje celá řada, všechny se ale do jisté míry podobají. Vždy je jejich základem, že hackeři se začnou vydávat za někoho z vedení společnosti (ředitel/finanční ředitel) a požadují od druhé strany platbu. K ní pak dodají falešné bankovní údaje, takže firmy o zaslané peníze přijdou.

Celé schéma těchto podvodů se nazývá Business Email Compromise (BEC) a na první pohled možná nevypadá tak nebezpečné. Přece poznáme falešný e-mail, řekne si většina lidí. Jenže ono to tak jednoduché není.

Může přijít i falešná faktura

Útočníci totiž často předem pečlivě sledují své oběti, v tomto případě firmy. Ví přesně, kdo jsou její zaměstnanci oprávnění provádět platby, s kým komunikují a jaké očekávají dodávky. Za tyto spolupracující firmy se pak začnou vydávat. Neozve se tak náhodná neznámá osoba z internetu, ale někdo, s kým firmy dlouhodobě spolupracují.

Jménem těchto osob pak začnou se zaměstnanci komunikovat. Jejich e-mail je téměř totožný s tím, jaký lidem chodí běžně. Odešlou ho jen v pracovních hodinách a ve všední den, aby vše vypadalo legitimně. Vytvoří si za tímto účelem i adresu, která vypadá skoro stejně jako té osoby, za kterou se vydávají. Někdy i celou falešnou doménu.

Stovky lidí hlásí neoprávněné platby na Wish. Janu připravil podvodník o tři tisíce

Obsah tohoto e-mailu je pak vždy na stejné téma – útočníci začnou tvrdit, že se dodavatelské firmě, za kterou se vydávají, změnily bankovní údaje a začnou urgovat, ať si je společnost ve všech dokladech změní. Existují dokonce případy, kdy rovnou pošlou fakturu za dodávku zboží či služby, kde je číslo účtu již změněné. Tato faktura vypadá díky jejich předchozímu výzkumu jako ta pravá, zaměstnanec tak při zběžném pohledu nic nepozná.

Ze strany kyberzločinců vyžadují tyto podvody relativně vysokou míru cíleného úsilí, ale útočníkům se to vyplatí. Na rozdíl od běžných phishingových útoků (BEC je stále druh phishingu) není cílem vylákat přihlašovací údaje, ale celou platbu, která je v řádech statisíců až milionů. Jedním úspěšným „pokusem“ se tak mohou neuvěřitelně obohatit.

Policie: Těžko se to vyšetřuje

To se jim také často daří. O jak velký problém jde, ukazuje statistika amerického Federálního úřadu pro vyšetřování (FBI) - podle něj mezi červnem 2016 a červencem 2019 došlo k více než 166 tisícům takových útoků, při kterých bylo po celém světě odcizeno 26 miliard dolarů (téměř 617 miliard korun). Pro porovnání, takový byl před pár lety celý státní rozpočet Česka.

Podvody se přitom tuzemským firmám nevyhýbají, spíše naopak. Moravští kriminalisté se jedním takovým podvodem zabývali začátkem roku. „V polovině ledna poslal podvodník vydávající se za jednatele společnosti obchodní manažerce firmy e-mail s dotazem na jejich bankovní zůstatek. Poté, co mu odpověděla, jí zaslal pokyn k platbě ve výši přes osmnáct tisíc euro. Vzhledem k tomu, že v minulosti již několikrát takto manažerka s šéfem, který byl na zahraniční cestě, platby prováděla, požadované peníze odeslala,“ informovali kriminalisté.

Kyberútoky na české nemocnice pobouřily i Američany. Trumpův muž hrozí hackerům

Žena poté odeslala dalších 12 tisíc euro, celkem tak firma přišla o 760 tisíc korun. „Na Uherskohradišťsku se však nejedná o ojedinělý případ. Již v minulosti se kriminalisté s obdobnými skutky setkali. Apelujeme proto na firmy, aby své transakce řádně prověřovaly a nestaly se tak terčem podvodníků,“ dodali kriminalisté s tím, že pachateli hrozí až 8 let vězení.

Vyšetřování je ale mnohdy komplikované a bez výsledků, jak informoval projekt E-Bezpečí. Citoval u toho hlavního vyšetřovatele oddělení kyberkriminality Krajského ředitelství policie Olomouckého kraje Pavla Schweinera: „Jedná se o poměrně rozsáhlou trestnou činnost, která je Policií ČR prověřována. Velmi často jsou poškozenými právnické osoby, v jejichž firmách je účetní agenda složitá a objemná. Pak se lehce stane, že je některý z takto podvržených podvodných e-mailů vyslyšen a dojde k převodu finančních prostředků. Problémem je, že finanční prostředky jsou zasílány v cizí měně na zahraniční účty a škoda bývá opravdu vysoká. Sledování finančního toku bez rychlé reakce poškozeného, případně zajištění finančních prostředků na podvodném účtu, je pak cestou velmi komplikovanou a složitou.“

Základní tipy, jak se ochránit

Podle FBI se výše škod způsobená BEC útoky mezi květnem 2018 a červencem 2019 zvýšila o 100 procent. Nyní je situace ještě horší – podle bezpečnostní firmy Check Point útočníci využili pandemie koronaviru. „BEC podvod je běžně spojován především s osamělými hackery. Check Point ale zjistil, že během koronavirové pandemie roste sofistikovanost a organizovanost těchto zločinů. V dubnu 2020 zveřejnil Check Point podrobnosti o kybergangu Florentine Banker, který okradl 3 organizace o 1,3 milionu dolarů. Útočníci měsíce studovali vytipovaný cíl, manipulovali korespondencí, registrovali podvodné domény a opatrně si vypláceli finance,“ uvedla firma.

Celosvětová pandemie covidu skončila, oznámila WHO. Trvala přes tři roky

Check Point v této souvislosti doporučuje, aby si každá firma zajistila svou emailovou komunikaci. Lze použít nejrůznější technická řešení, která do jisté míry dokážou útok zachytit automaticky. Rovněž by si před každou platbou měl každý člověk několikrát zkontrolovat, zda vše sedí a peníze skutečně posílá na správné místo. Pokud pak k problému skutečně dojde, neprodleně informujte druhou stranu. A především – zaměstnanci musí být informovaní, že tyto hrozby existují.

Europol navíc uvádí, že v emailech se lze zaměřit na varovné signály. Kontaktoval vás nadřízený, který s vámi běžně nekomunikuje? Je podezřele milý a urguje změnu platebních údajů? Takové kroky se v běžném byznysu oznamují několik týdnů předem, ne ze dne na den. Oznámení navíc přišlo těsně poté, co firma udělala velkou objednávku? Rovněž na pováženou.

BEC útoky v konečném důsledku po technické stránce příliš pokročilé nejsou. Využívají především sociální inženýrství a spoléhají se, že lidé udělají chybu. Proto se nejvíce ochráníte tím, že zůstanete neustále v pozoru a všechny žádostí o peníze prověříte klidně desetkrát.