fałszywy kontrahent

Fałszywy kontrahent to podszywający się podmiot wykorzystywany w celu wyłudzenia płatności lub danych firmowych.

Fałszywy kontrahent jako element oszustwa elektronicznego

Fałszywy kontrahent to osoba lub podmiot, który przedstawia się jako istniejąca firma, dostawca albo klient, aby skłonić odbiorcę do wykonania przelewu, przekazania dokumentów lub ujawnienia danych dostępowych. W środowisku komputerowym taki schemat często wykorzystuje pocztę elektroniczną, komunikatory, formularze kontaktowe albo dokumenty przesyłane jako załączniki. Wiadomość może zawierać nazwę i logo prawdziwej firmy, numer rachunku, podpis pracownika oraz stopkę skopiowaną z wcześniejszej korespondencji.

Technicznie oszust nie musi przejmować całej skrzynki pocztowej. Czasami wystarczy utworzenie adresu w domenie podobnej do prawdziwej, na przykład z dodatkowym znakiem, zamienioną literą lub inną końcówką domenową. Inną metodą jest podszycie się pod nazwę nadawcy wyświetlaną w programie pocztowym. Widoczna nazwa może wskazywać znanego kontrahenta, choć rzeczywisty adres nadawcy prowadzi do innej domeny. Dlatego sama nazwa nadawcy, logo ani poprawny język wiadomości nie potwierdzają autentyczności korespondencji.

Ślady techniczne w wiadomości i domenie

Weryfikację należy rozpocząć od pełnych nagłówków wiadomości, a nie wyłącznie od treści widocznej w skrzynce odbiorczej. Nagłówki pokazują między innymi adresy serwerów przekazujących wiadomość, domenę używaną przez nadawcę oraz wyniki mechanizmów SPF, DKIM i DMARC, o ile domena nadawcy je stosuje. SPF określa, które serwery mogą wysyłać pocztę dla danej domeny. DKIM umożliwia sprawdzenie podpisu kryptograficznego dołączonego do wiadomości, a DMARC opisuje sposób postępowania z wiadomościami, które nie przejdą kontroli SPF lub DKIM.

Pozytywny wynik tych kontroli nie oznacza automatycznie, że wiadomość pochodzi od właściwego kontrahenta. Oszust może wysłać poprawnie uwierzytelnioną wiadomość z własnej domeny albo użyć wcześniej przejętej skrzynki. Warto porównać domenę w adresie nadawcy z domeną znaną z umowy, strony internetowej i wcześniejszej korespondencji. Należy także sprawdzić adresy zawarte w odnośnikach, rozszerzenia załączników oraz rzeczywisty adres rachunku bankowego. Certyfikat HTTPS potwierdza szyfrowanie połączenia z witryną, ale sam w sobie nie potwierdza, że witryna należy do właściwej firmy.

Próby wyłudzenia płatności lub dostępu

Charakterystycznym sygnałem jest nagła zmiana numeru rachunku, prośba o pilne opłacenie faktury, nacisk na zachowanie sprawy w tajemnicy albo żądanie przesłania danych logowania. Ryzyko zwiększa się, gdy wiadomość odwołuje się do prawdziwej transakcji, zawiera numer zamówienia lub odpowiada na wcześniejszą wymianę wiadomości. Może to wskazywać na przejęcie konta jednego z uczestników korespondencji, ale bez analizy logów i nagłówków nie pozwala jeszcze ustalić źródła incydentu.

Zmianę rachunku lub innych istotnych danych należy potwierdzić niezależnym kanałem, korzystając z numeru telefonu albo adresu zapisanych wcześniej w dokumentacji, a nie z wiadomości zawierającej zmianę. Nie powinno się otwierać podejrzanych załączników ani wpisywać haseł po przejściu z nieoczekiwanego odnośnika. Jeżeli doszło do kliknięcia, pobrania pliku lub podania hasła, trzeba odłączyć urządzenie od sieci w zakresie koniecznym do ograniczenia dalszej komunikacji, zmienić hasło z bezpiecznego urządzenia i sprawdzić aktywne sesje oraz reguły przekazywania poczty. Przy podejrzeniu wykonania przelewu liczy się szybki kontakt z bankiem.

Diagnostyka komputera po podejrzanej korespondencji

Jeżeli wiadomość otwarto na laptopie lub komputerze PC, diagnostyka może obejmować historię pobierania, procesy uruchomione po otwarciu załącznika, autostart systemu, rozszerzenia przeglądarki, reguły przekazywania poczty oraz ślady logowania do kont. Sam brak widocznego komunikatu o infekcji nie przesądza o bezpieczeństwie urządzenia. Szczególnej uwagi wymagają pliki wykonywalne, skrypty, dokumenty z aktywną zawartością oraz archiwa pochodzące z nieoczekiwanego adresu.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy podejrzana korespondencja wiąże się z nietypowym działaniem systemu, przeglądarki lub programów pocztowych. W ramach oceny można ustalić, czy problem dotyczy samego urządzenia, konfiguracji aplikacji, konta użytkownika czy wyłącznie fałszywej wiadomości. Wnioski powinny opierać się na zachowanych nagłówkach, komunikatach systemowych i stanie komputera, a nie na samej nazwie kontrahenta widocznej w skrzynce odbiorczej.