Zrazu sa vo vašej emailovej schránke objaví správa od vášho šéfa s naliehavou žiadosťou o prevod 50 000 eur na nový účet. Všetko vyzerá legitímne, časová tieseň vás tlačí konať, a tak radšej neriskujete šéfov hnev a peniaze odošlete. Neskôr však zistíte, že peniaze skončili na účte v Karibiku a váš skutočný CEO o žiadnej platbe nevie. Gratulujeme, práve ste sa stali obeťou BEC útoku.
Stačí jeden „klik“
Žiaľ, nie je to žiadne sci-fi, a podobné útoky sú bežnou súčasťou života čoraz väčšieho množstva firiem. Zločinci totiž už dávno pochopili, že peniaze sa dajú ukradnúť aj bez toho, aby museli rozbíjať Váš trezor. Stačí im prístup k počítaču alebo emailu zamestnanca, ktorý má pod kontrolou firemné účty. Ak sa im zadarí, jedno nepozorné kliknutie na podozrivý email, vám môže spôsobiť obrovské škody.
Rybolov na slepo
Vo väčšine prípadov to začína starým známy phishingom. Útočníci pri tomto type útoku rozposielajú podvodné emaily a jednoducho čakajú, či sa niekto „chytí“. Stačí, ak obeť klikne na link v emaile, ktorý vedie na falošnú stránku. A tam nič netušiac, odovzdá svoje prihlasovacie údaje alebo ďalšie citlivé informácie.
Po príklady takýchto útokov nemusíme chodiť do ďalekého zahraničia – aj slovenské banky pravidelne varujú svojich klientov pred falošnými správami, ktoré sa tvária ako ich oficiálna komunikácia. V septembri sa slovenským internetom dokonca začala šíriť nová a sofistikovanejšia vlna podvodov, ktorá sa zameriava na falošné bankové aplikácie.
Takáto „appka“ môže na prvý pohľad pôsobiť legitímne - môže mať rovnakú ikonu či dizajn. Jej úlohou je ale krádež prihlasovacích údajov do vášho internet bankingu.
Horšie je vydieranie
Ransomvér, na rozdiel od phishingu, funguje na princípe vydierania. Kým ešte donedávna zvykli útočníci zablokovať prístup k dátam a požadovali výkupné za ich odblokovanie, dnes pri tomto type útoku pozorujeme zmenu taktiky. Útočníci prestávajú dáta šifrovať - už si vystačia „len“ s ich krádežou. Samozrejme, výkupné za nezverejnenie dát požadujú naďalej. V aktivite ich podporuje aj fakt, že mnohé firmy radšej výkupné zaplatia v domnienke, že tak predídu ešte väčším stratám. Je to však veľký omyl.
Zaplatením výkupného firma nielenže nezíska žiadnu záruku, že útočníci dáta nezverejnia alebo nezneužijú, ale zároveň podporuje ich ďalšie aktivity a motivuje ich k ďalším útokom. Navyše, takéto konanie môže viesť k poškodeniu reputácie a strate dôvery zákazníkov.
S týmto typom útoku má skúsenosť aj slovenská fabrika polovodičov. Útočníci pred dvomi rokmi najskôr prenikli do siete jej nemeckej „matky“, kde nasadili ransomvér. Ten zašifroval firemný softvér a zamestnanci stratili prístup do systému. Výsledkom bola strata 4,2 milióna eur a dvojmesačná odstávka výroby.
Business Email Compromise
Dostávame sa k hviezde medzi finančnými kyberútokmi, ktorú sme spomenuli už v úvode - k BEC (Business Email Compromise) útokom. Dovolíme si tvrdiť, že sú mimoriadne zákerné, a zároveň veľmi jednoduché a efektívne. Zločinci sa pri nich zameriavajú najmä na zamestnancov, ktorí majú prístup k financiám. Za pomoci sociálneho inžinierstva, rôznych nekalých praktík či dokonca deepfake technológií ich presvedčia, aby previedli peniaze na podvodný účet.
|
Časová tieseň Úvodná fáza je ale predsa len trochu komplikovanejšia – útočníci totiž musia najskôr dokonale chápať, ako funguje komunikácia v cieľovej firme. Zameriavajú sa preto na dôležitých ľudí, napríklad na finančných riaditeľov, ktorým kompromitujú emailový účet a sledujú ich emailovú komunikáciu i to, čo, s kým a ako „riešia“. Útočníci na e-mailovú komunikáciu často nastavujú rôzne presmerovacie pravidlá – buď na všetky správy, alebo na vybrané konverzácie – aby si zaistili prístup k obsahu aj v prípade, že by stratili kontrolu nad kompromitovaným účtom. V pokročilejšej fáze útoku, tieto pravidlá upravujú tak, aby cielene sledovali komunikáciu s konkrétnymi osobami, napríklad dodávateľmi či vedením firmy, pričom postupujú čo najnenápadnejšie. Ďalší krok je už pomerne jednoduchý – útočníci odosielajú vierohodne naformulovaný email, napríklad s naliehavou žiadosťou o prevod peňazí, ktorá môže vyzerať aj nejako takto: „Potrebujem, aby si okamžite previedol peniaze na tento nový účet. Pošlem ti k tomu viac info neskôr.“ Často však prichádzajú aj sofistikovanejšie, menej nápadné, požiadavky, napríklad žiadosť o zmenu čísla účtu, na ktorý ste zvyknutí posielať peniaze alebo falošná faktúra od známeho dodávateľa – doručená možno o pár dní skôr, no s iným účtom na úhradu. Kým sa spamätáte, peniaze sú už dávno fuč. A meno vašej firmy rozširuje už tak dlhý zoznam obetí BEC útokov. |
Ako útok rozoznať?
V prípade naliehavých a neobvyklých požiadaviek, okamžite zbystrite. Pre BEC útoky sú typické emaily, v ktorých nadriadený alebo kolega, žiada o okamžitú urgentnú finančnú transakciu, ktorá u vás vo firme ale nie je bežnou praxou.
Podvodný email navyše často obsahuje aj nezvyčajné platobné inštrukcie, a vy zrazu musíte poslať peniaze na iný účet, než ten, ktorý ste používali doteraz. V takomto prípade by ste si inštrukcie mali overiť – a to nielen emailom, ale určite aj telefonicky. A volať by ste mali na overené telefónne číslo, nie to, ktoré je uvedené v emaile.
Počúvajte šiesty zmysel
Ak máte pocit, že niečo nie je v poriadku, overte si aj emailovú adresu odosielateľa. Útočníci totiž často používajú rôzne techniky, pri ktorých im stačí napríklad jediný preklep v emailovej adrese na to, aby vás oklamali. A tak namiesto z adresy „Táto e-mailová adresa je chránená pred spamovacími robotmi. Na jej zobrazenie potrebujete mať nainštalovaný JavaScript.“ vám príde email z adresy „Táto e-mailová adresa je chránená pred spamovacími robotmi. Na jej zobrazenie potrebujete mať nainštalovaný JavaScript.“ – rozdiel si poľahky nevšimnete.
Aj keď si útočníci najskôr robia „prieskum“, nie vždy sa im podarí dokonale napodobniť štýl komunikácie osoby, ktorú napodobňujú. Ak s vami šéf zrazu v emaile komunikuje podozrivo formálne, alebo naopak neprimerane neformálne, osloví vás inak ako obvykle, a robí štylistické či gramatické chyby, radšej si overte pravosť daného emailu. Nepíšte mu ale správu, radšej mu ihneď zavolajte.
Ako sa brániť?
To najmenej, čo môžete spraviť, je investovať do bezpečnostného softvéru, ktorý dokáže detegovať podvodné emaily a zastaviť ich ešte predtým, než sa dostanú do vašej emailovej schránky.
Najsilnejšou zbraňou proti BEC útokom je ale osveta. Každý jeden zamestnanec, ktorý má prístup k firemným financiám, by mal dokonale chápať, ako takéto útoky prebiehajú, akú mávajú formu, na čo si dať pozor, a ako sa voči nim brániť.
Ako sme už spomenuli, ak sa vám niečo nepozdáva, radšej si to overte. Ideálne osobne alebo telefonicky – nezabúdajte, že emaily môžu byť kompromitované. Rovnako pri každom veľkom finančnom prevode, je dôležité mať vo firme nastavený proces dvojstupňového overenia. To znamená, že prevody vyšších súm, by mali byť schválené dvoma nezávislými osobami.
Oko pre detail
Aj slovenské firmy čelia narastajúcemu počtu BEC útokov. Ako to už ale býva zvykom, mnohé prípady zostávajú nezverejnené, pretože firmy sa boja straty reputácie. Útočníci sú ale čoraz sofistikovanejší, je preto rozumné vopred sa pripraviť na ich nástrahy.
Nezabúdajte, že prevencia je kľúčová – a ak vám v emailovej komunikácii niečo „nesedí“, radšej si to overte. Aj tie najmenšie detaily totiž môžu rozhodnúť o tom, či vaša firma „nenaletí“.
Silvia Strežová void SOC