oszustwo na prezesa

Oszustwo na prezesa to podszycie się pod członka zarządu w celu zlecenia pilnego przelewu przez pracownika.

Jak działa oszustwo na prezesa w środowisku komputerowym

Oszustwo na prezesa, określane także jako BEC (Business Email Compromise), polega na manipulowaniu pracownikiem za pomocą poczty elektronicznej, komunikatora lub rozmowy telefonicznej. Przestępca udaje członka zarządu, właściciela firmy albo osobę uprawnioną do wydawania poleceń finansowych. Celem jest nakłonienie pracownika do wykonania przelewu, zmiany rachunku kontrahenta, przekazania dokumentu lub ujawnienia informacji potrzebnych do dalszego ataku. Wiadomość zwykle podkreśla pilność, poufność i konieczność pominięcia standardowej procedury akceptacji.

Podszycie może mieć kilka technicznych postaci. Atakujący może wysłać wiadomość z domeny bardzo podobnej do firmowej, na przykład z literówką, inną końcówką lub dodatkowym znakiem. Może również przejąć prawdziwe konto pocztowe po wyłudzeniu hasła albo wykorzystać wcześniej skradzioną sesję logowania. W takim przypadku adres nadawcy może być autentyczny, a treść wiadomości zostaje umieszczona w istniejącym wątku korespondencji. Sama nazwa wyświetlana przy adresie, na przykład „Prezes Jan Kowalski”, nie jest dowodem tożsamości nadawcy.

Ślady techniczne w wiadomości i nagłówkach pocztowych

Analiza podejrzanej wiadomości powinna obejmować pełne nagłówki, a nie tylko widoczną treść. Nagłówki pokazują między innymi deklarowany adres nadawcy, adres użyty w polu Return-Path, wyniki kontroli SPF, DKIM i DMARC oraz kolejne serwery, przez które przechodziła wiadomość. SPF pozwala właścicielowi domeny wskazać serwery uprawnione do wysyłania poczty w jej imieniu. DKIM dołącza do wiadomości podpis kryptograficzny weryfikowany na podstawie klucza publicznego opublikowanego w DNS. DMARC określa sposób postępowania z wiadomościami, które nie przechodzą kontroli autentyczności lub nie zachowują zgodności domeny w polach używanych do identyfikacji nadawcy.

Pozytywny wynik SPF lub DKIM nie oznacza automatycznie, że wiadomość pochodzi od prezesa. Kontrola może potwierdzić jedynie, że wiadomość została wysłana z serwera uprawnionego dla danej domeny. Jeżeli przestępca korzysta z własnej, podobnie brzmiącej domeny, jej mechanizmy mogą działać prawidłowo, mimo że cała korespondencja jest fałszywa. Warto porównać domenę po znaku „@”, dokładną pisownię adresu, datę i godzinę wysłania, adresy zawarte w linkach oraz dane rachunku bankowego. Link widoczny jako tekst może prowadzić do innej domeny niż sugeruje jego opis.

Procedura potwierdzania polecenia przelewu

Najważniejszą ochroną przed oszustwem na prezesa jest rozdzielenie komunikacji od autoryzacji finansowej. Polecenie otrzymane pocztą elektroniczną nie powinno samo wystarczać do zmiany numeru rachunku ani do wykonania nietypowego przelewu. Pracownik powinien potwierdzić żądanie niezależnym kanałem, korzystając z numeru telefonu zapisanego wcześniej w firmowej książce kontaktów albo z bezpośredniej rozmowy z przełożonym. Nie należy używać numeru telefonu podanego w podejrzanej wiadomości ani odpowiadać na nią w tym samym wątku.

Procedura powinna określać progi kwotowe, obowiązek podwójnej akceptacji, sposób weryfikacji nowych rachunków oraz zasady postępowania przy żądaniu zachowania tajemnicy. Nietypowe polecenie warto oznaczyć jako podejrzane, zachować oryginalną wiadomość wraz z nagłówkami i przekazać administratorowi lub osobie odpowiedzialnej za bezpieczeństwo. Jeżeli pracownik kliknął link i podał hasło, hasło trzeba niezwłocznie zmienić z zaufanego urządzenia, a aktywne sesje i reguły przekazywania poczty powinien sprawdzić administrator. W przypadku wykonania przelewu liczy się szybki kontakt z bankiem oraz wewnętrznym zespołem odpowiedzialnym za incydenty.

Ochrona poczty i komputerów pracowników

Na komputerach używanych do obsługi poczty należy stosować aktualny system operacyjny, przeglądarkę i program pocztowy, ponieważ niezałatane luki mogą ułatwić kradzież sesji lub instalację złośliwego oprogramowania. Konta powinny korzystać z unikalnych haseł i uwierzytelniania wieloskładnikowego, a uprawnienia użytkownika powinny odpowiadać jego obowiązkom. Warto również włączyć ostrzeżenia dla wiadomości spoza organizacji, filtrowanie domen podobnych do firmowej oraz blokowanie automatycznego wykonywania niebezpiecznych załączników. Reguły przekazywania poczty ustawione bez wiedzy użytkownika są istotnym sygnałem przejęcia konta.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a przy problemach z podejrzaną korespondencją może pomóc w sprawdzeniu stanu systemu, przeglądarki, programu pocztowego oraz podstawowych oznak infekcji. Sama naprawa komputera nie zastępuje jednak weryfikacji przelewu, kontroli konta pocztowego ani procedur obowiązujących w firmie. Skuteczna reakcja wymaga połączenia analizy technicznej z potwierdzeniem tożsamości nadawcy i zachowaniem ustalonego obiegu akceptacji.