spoofing partnera biznesowego

Spoofing partnera biznesowego to podszycie się pod kontrahenta w celu przekierowania płatności lub danych.

Na czym polega podszycie pod partnera biznesowego

Spoofing partnera biznesowego to oszustwo, w którym napastnik udaje znanego kontrahenta, dostawcę, klienta albo pracownika firmy. Celem może być zmiana numeru rachunku bankowego na fakturze, wyłudzenie dokumentów, przejęcie korespondencji lub nakłonienie pracownika do wykonania konkretnej operacji. Atak nie musi polegać na całkowitym przejęciu skrzynki pocztowej. Często wystarcza bardzo podobny adres nadawcy, domena różniąca się jednym znakiem albo wiadomość wysłana z konta, które wcześniej zostało przejęte.

Techniczna forma ataku zależy od kanału komunikacji. W poczcie elektronicznej napastnik może sfałszować widoczną nazwę nadawcy, wykorzystać domenę podobną do prawdziwej lub wysłać wiadomość z nieautoryzowanego serwera. W komunikatorze może użyć skopiowanego profilu, a podczas rozmowy telefonicznej posłużyć się informacjami znalezionymi wcześniej w korespondencji. Spoofing może więc łączyć fałszowanie tożsamości z phishingiem, przejęciem konta, złośliwym oprogramowaniem albo manipulacją pracownikiem.

Adres nadawcy, domena i uwierzytelnianie poczty

Jednym z podstawowych sygnałów ostrzegawczych jest różnica między adresem, który użytkownik zna, a adresem faktycznie użytym do wysłania wiadomości. Przykładowo domena firma-przyklad.pl może zostać zastąpiona przez firma-przyklad.com, firma-przyklad1.pl albo domenę zawierającą znak podobny wizualnie. Sama nazwa wyświetlana w programie pocztowym nie potwierdza tożsamości nadawcy, dlatego trzeba sprawdzić pełny adres oraz nagłówki wiadomości.

Administrator domeny może ograniczać fałszowanie poczty za pomocą rekordów DNS SPF, DKIM i DMARC. SPF wskazuje serwery uprawnione do wysyłania poczty w imieniu domeny. DKIM dodaje do wiadomości podpis kryptograficzny weryfikowany przez odbiorcę na podstawie klucza publicznego w DNS. DMARC określa, jak odbiorca powinien postąpić, gdy wiadomość nie przejdzie kontroli SPF lub DKIM albo gdy domena z adresu nadawcy nie jest z nimi zgodna. Te mechanizmy nie zapobiegają przejęciu prawdziwego konta, ale utrudniają wysyłanie wiadomości z całkowicie nieautoryzowanych serwerów.

W programie pocztowym warto sprawdzić pola „Od”, „Reply-To” oraz „Return-Path”, a także wyniki kontroli uwierzytelniania widoczne w nagłówkach, takie jak spf=pass, dkim=pass i dmarc=pass. Pomyślne przejście tych kontroli nie oznacza automatycznie, że wiadomość jest bezpieczna. Napastnik może wysłać ją z własnej, poprawnie skonfigurowanej domeny albo z prawdziwego konta partnera, które zostało wcześniej przejęte.

Zmiana płatności jako typowy scenariusz ataku

Szczególnie niebezpieczny jest komunikat informujący o zmianie rachunku bankowego, danych do przelewu, adresu do wysyłki lub procedury zatwierdzania faktur. Wiadomość może zawierać prawdziwe dane wcześniejszej korespondencji, numer faktury i nazwiska osób uczestniczących w transakcji. Takie szczegóły często pochodzą z przejętej skrzynki pocztowej, zainfekowanego komputera albo dokumentów dostępnych w chmurze.

Zmiana danych finansowych powinna być potwierdzana drugim, niezależnym kanałem. Nie należy korzystać z numeru telefonu ani linku podanego w podejrzanej wiadomości, ponieważ mogą prowadzić do napastnika. Bezpieczniejsza jest rozmowa z wcześniej zapisanym numerem kontrahenta, kontakt z innym pracownikiem firmy lub weryfikacja danych na dokumencie podpisanym w uzgodniony sposób. Przed przelewem trzeba porównać nazwę odbiorcy, numer rachunku, walutę, kwotę i tytuł płatności z wcześniejszymi ustaleniami. Przy większych kwotach warto wprowadzić zasadę podwójnej akceptacji.

Jeżeli przelew został wykonany na skutek takiej wiadomości, należy niezwłocznie skontaktować się z bankiem i poprosić o próbę wstrzymania lub odzyskania środków. Trzeba również zabezpieczyć wiadomości, nagłówki, załączniki, historię logowania i dane rachunku użytego w transakcji. W przypadku podejrzenia przejęcia konta należy zmienić hasło z bezpiecznego urządzenia, wylogować aktywne sesje, usunąć nieznane reguły przekierowania poczty i sprawdzić, czy nie dodano obcych metod uwierzytelniania.

Ograniczanie ryzyka na komputerze użytkownika

Na laptopie lub komputerze PC warto rozpocząć od aktualizacji systemu, przeglądarki, programu pocztowego i aplikacji używanych do komunikacji. Aktualizacje usuwają znane luki, które mogą umożliwiać kradzież zapisanych sesji, instalację złośliwego oprogramowania albo przejęcie danych logowania. Hasło do poczty powinno być unikalne i długie, a konto powinno korzystać z uwierzytelniania wieloskładnikowego, najlepiej z aplikacji uwierzytelniającej lub klucza sprzętowego, jeśli usługa go obsługuje.

Nie należy otwierać załączników ani logować się przez link z wiadomości tylko dlatego, że nadawca wygląda znajomo. Adres strony trzeba sprawdzić w pasku przeglądarki, a dane płatności weryfikować poza kanałem, w którym pojawiła się prośba. W firmie pomocne są również reguły wymagające potwierdzania zmian rachunku, ograniczenie automatycznego uruchamiania makr w dokumentach oraz przegląd reguł skrzynki pocztowej. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, a podczas diagnostyki może także sprawdzić podstawowe objawy infekcji, nieautoryzowanych zmian w systemie oraz problemy z konfiguracją używanego oprogramowania.