Oszustwa na szefa i na kontrahenta nadal popularne

W dobie cyfryzacji przedsiębiorstw, oszustwa typu Business Email Compromise (BEC), znane powszechniej jako metoda na szefa lub na kontrahenta, stanowią jedno z największych zagrożeń dla bezpieczeństwa finansowego organizacji. Przestępcy, wykorzystując techniki socjotechniczne, podszywają się pod osoby decyzyjne lub zaufanych partnerów biznesowych, aby wyłudzić środki finansowe lub poufne dane. Skuteczność tych ataków wynika z faktu, że bazują one nie na lukach w oprogramowaniu, lecz na ludzkich słabościach: pośpiechu, autorytecie przełożonego oraz chęci zachowania płynności operacyjnej.

Mechanizm działania oszustów

Atak na szefa polega na przesłaniu wiadomości e-mail, która rzekomo pochodzi od wysokiego rangą menedżera lub właściciela firmy. Treść komunikatu jest zazwyczaj sformułowana w sposób nakazujący pilne wykonanie przelewu, często pod pretekstem poufnej transakcji, przejęcia spółki lub audytu. Z kolei oszustwo na kontrahenta jest bardziej wyrafinowane – przestępcy przejmują korespondencję między firmami, podszywają się pod znanego dostawcę i informują o zmianie numeru rachunku bankowego, na który należy przelać opłatę za fakturę.

Jak rozpoznać próbę ataku

Kluczem do ochrony przed wyłudzeniami jest czujność oraz weryfikacja każdego nietypowego żądania. Warto zwrócić uwagę na następujące sygnały ostrzegawcze:

• Nieregularności w adresie e-mail: drobne literówki w nazwie domeny nadawcy, które na pierwszy rzut oka wyglądają profesjonalnie.
• Presja czasu: żądanie natychmiastowego działania, mające na celu wyłączenie logicznego myślenia u pracownika.
• Odstępstwa od procedur: prośby o ominięcie standardowych procesów akceptacji faktur lub płatności.
• Poufność: nacisk na zachowanie tajemnicy przed innymi członkami zespołu czy działem księgowości.

Budowanie kultury bezpieczeństwa

Eksperci ds. cyberbezpieczeństwa podkreślają, że najsłabszym ogniwem w łańcuchu ochrony nie jest technologia, lecz brak świadomości pracowników. Aby skutecznie minimalizować ryzyko, każda organizacja powinna wdrożyć rygorystyczne procedury weryfikacyjne:

1. Weryfikacja kanałem alternatywnym: każda prośba o zmianę rachunku bankowego lub pilny przelew musi zostać potwierdzona telefonicznie – najlepiej numerem znanym z dotychczasowej współpracy, a nie tym podanym w podejrzanej wiadomości.
2. Edukacja zespołu: regularne szkolenia z zakresu inżynierii społecznej pozwalają pracownikom lepiej identyfikować próby manipulacji.
3. Polityka autoryzacji: wprowadzenie zasady dwóch par oczu przy każdej zmianie danych finansowych kontrahenta.

Odpowiedzialność i prewencja

Warto pamiętać, że odpowiedzialność za bezpieczeństwo spoczywa na każdym pracowniku, niezależnie od zajmowanego stanowiska. Wprowadzenie prostych, lecz konsekwentnie przestrzeganych zasad, znacząco utrudnia działanie przestępcom. Jeśli podejrzewasz, że otrzymana wiadomość jest próbą oszustwa, niezwłocznie poinformuj o tym dział IT lub osobę odpowiedzialną za bezpieczeństwo w Twojej firmie. Szybka reakcja jest często jedynym sposobem na uniknięcie dotkliwych strat finansowych i utraty reputacji przedsiębiorstwa.