spoofing działu księgowości

Spoofing działu księgowości to wiadomość udająca dział finansowy, mająca skłonić do nieautoryzowanej płatności.

Na czym polega spoofing działu księgowości

Spoofing działu księgowości to odmiana inżynierii społecznej, w której napastnik przygotowuje wiadomość wyglądającą jak korespondencja od osoby odpowiedzialnej za finanse, przelewy lub rozliczenia. Celem jest wywołanie konkretnego działania: wykonania płatności, zmiany rachunku bankowego kontrahenta, przesłania dokumentu albo ujawnienia informacji potrzebnych do dalszego ataku. Wiadomość może być skierowana do pracownika firmy, właściciela małego przedsiębiorstwa lub osoby obsługującej domowe płatności.

Podszywanie się nie musi oznaczać przejęcia prawdziwej skrzynki pocztowej. Często wystarcza zmieniona nazwa nadawcy wyświetlana w programie pocztowym, adres z podobną domeną albo domena różniąca się jednym znakiem. Oszust może również użyć adresu, który wygląda wiarygodnie na małym ekranie telefonu. W treści pojawiają się informacje o pilnej fakturze, zaległej płatności, zmianie rachunku lub konieczności zachowania poufności. Presja czasu ma ograniczyć spokojne sprawdzenie, czy polecenie rzeczywiście pochodzi z księgowości.

Elementy wiadomości, które wymagają weryfikacji

Przy analizie należy rozdzielić nazwę wyświetlaną od rzeczywistego adresu nadawcy. Warto sprawdzić pełny adres po znaku „@”, domenę używaną przez firmę oraz adres widoczny po wybraniu funkcji odpowiedzi. Trzeba zwrócić uwagę na literówki, dodatkowe człony domeny, znaki podobne wizualnie do liter oraz domeny używające innego rozszerzenia. Sam podpis, logo i poprawny język wiadomości nie potwierdzają autentyczności, ponieważ można je łatwo skopiować.

Znaczenie mają także nagłówki wiadomości. Informacje takie jak „Received”, „Return-Path”, „Reply-To” i wyniki uwierzytelniania pomagają ustalić, przez jakie serwery przesłano pocztę i czy domena nadawcy została technicznie zweryfikowana. SPF sprawdza, czy serwer wysyłający jest uprawniony do nadawania poczty dla danej domeny. DKIM wiąże wiadomość z podpisem kryptograficznym domeny, a DMARC określa sposób postępowania z wiadomościami, które nie przechodzą kontroli lub nie są zgodne z domeną widoczną dla odbiorcy. Pozytywny wynik tych mechanizmów nie dowodzi jednak, że nadawcą jest właściwy pracownik. Przejęte konto prawidłowo przejdzie uwierzytelnianie.

Najważniejszym sygnałem ostrzegawczym jest zmiana rachunku bankowego lub nietypowa prośba finansowa przekazana wyłącznie pocztą elektroniczną. Dane płatności powinny być porównane z wcześniejszymi dokumentami i potwierdzone drugim, niezależnym kanałem, na przykład telefonicznie pod numerem zapisanym wcześniej, a nie podanym w podejrzanej wiadomości. Nie należy korzystać z linków ani numerów telefonu znajdujących się w treści, jeżeli ich wiarygodność nie została potwierdzona.

Jak ograniczyć ryzyko nieautoryzowanej płatności

Skuteczna procedura powinna wymagać dodatkowego potwierdzenia dla nowych rachunków, zmian danych kontrahenta i przelewów odbiegających od zwykłego schematu. Potwierdzenie może obejmować rozmowę z osobą znaną z wcześniejszej współpracy albo akceptację przez drugiego pracownika. Ważne jest, aby reguła obowiązywała również wtedy, gdy wiadomość wygląda na wewnętrzną i zawiera prawidłowe dane projektu, faktury lub kontrahenta. Takie szczegóły mogą pochodzić z wcześniejszej korespondencji albo z informacji ujawnionych podczas innego incydentu.

Nie należy otwierać nieoczekiwanych załączników ani logować się do bankowości przez odnośnik z wiadomości. Dokument PDF może zawierać fałszywy numer rachunku, a strona otwarta z linku może służyć do wyłudzenia hasła. Jeżeli wiadomość budzi wątpliwości, można ją zachować jako dowód, ale nie wolno jej przekazywać dalej w sposób, który przypadkowo uruchomi zawarte odnośniki. Podejrzane elementy warto zgłosić administratorowi poczty lub osobie odpowiedzialnej za bezpieczeństwo.

Po wykonaniu błędnego przelewu liczy się szybkie działanie: należy skontaktować się z bankiem, poinformować osoby odpowiedzialne za rachunki i zabezpieczyć skrzynkę pocztową. Trzeba sprawdzić aktywne sesje, reguły automatycznego przekazywania wiadomości, foldery, filtry oraz historię logowań. Jeżeli wykorzystano hasło także w innych usługach, powinno zostać zmienione, a w miarę możliwości należy włączyć uwierzytelnianie wieloskładnikowe. Analiza nagłówków i historii konta może pomóc ustalić, czy problem dotyczył fałszywej wiadomości, czy przejęcia prawdziwej skrzynki.

Wpływ spoofingu na laptop i komputer biurowy

Sam spoofing jest przede wszystkim manipulacją komunikacją, a nie awarią podzespołu. Laptop lub komputer może jednak zostać wykorzystany do wejścia na fałszywą stronę, otwarcia złośliwego załącznika albo zapisania danych logowania w niebezpiecznym formularzu. Objawami incydentu mogą być nieznane reguły w poczcie, wysyłanie wiadomości bez wiedzy użytkownika, nietypowe monity logowania, nowe rozszerzenia przeglądarki lub ostrzeżenia o sesjach z nieznanych urządzeń. Każdy taki sygnał wymaga zabezpieczenia konta i sprawdzenia urządzenia.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z systemem, przeglądarką oraz działaniem programów używanych do obsługi poczty. Przy podejrzeniu spoofingu istotne jest zachowanie podejrzanej wiadomości wraz z nagłówkami, opisanie wykonanych czynności i oddzielenie diagnostyki technicznej urządzenia od potwierdzenia, kto faktycznie zlecił płatność.

Weryfikacja komputera nie zastępuje potwierdzenia transakcji w banku ani ustalenia autentyczności nadawcy przez niezależny kanał. Pozwala natomiast sprawdzić, czy na urządzeniu nie pozostały oznaki otwarcia złośliwego pliku, zmiany konfiguracji przeglądarki lub nieuprawnionego dostępu do konta. Dzięki temu można ograniczyć ryzyko powtórzenia ataku przy kolejnej wiadomości udającej dział księgowości.