Predstavljajte si, da prejmete mail iz strani vašega direktorja oz. nadrejenega z nujno prošnjo za transakcijo denarja ali pa recimo prošnjo za posredovanje dokumentov poslovnemu partnerju? Ste kdaj preverili naslov prejemnika?
Če se lahko najdete v katerem od teh vprašanj, si zdaj odgovorite na to: Kaj pa, če bi vse skupaj bila zelo dobro zamaskirana prevara?
Tako prepričljiva in nevarna je lahko ena najpogostejših spletnih prevar današnjega časa: BEC napad – kompromitacija poslovne e-pošte.
Kaj je BEC (Business Email Compromise) napad?
BEC napad je ciljan poskus prevare, kjer napadalci zlorabijo elektronsko pošto, da bi se predstavili kot nekdo zaupanja vreden – npr. direktor podjetja, vodja financ, odvetnik ali zunanji poslovni partner – z namenom, da od žrtve izsilijo finančna nakazila ali dostop do zaupnih podatkov.
Za razliko od klasičnih "spam" ali virusnih kampanj, BEC ni množična, temveč natančno ciljana prevara, ki je pogosto zelo prepričljivo izvedena.
Kako poteka takšna prevara?
- Zbiranje informacij (ang. reconnaissance):
Napadalci najprej raziskujejo ciljno podjetje – kdo so ključne osebe, kdo je direktor, kdo vodi finance, kdo komunicira s kom. Uporabljajo javne vire: spletne strani podjetij, družbena omrežja (LinkedIn, Facebook), objave v medijih ali celo informacije iz preteklih varnostnih incidentov.
- Prevzem identitete ali ponarejanje e-pošte:
Ustvarijo e-poštni naslov, ki je skoraj identičen pravemu (npr. namesto ime@podjetje.com uporabijo ime@podjetje.co) ali pa dejansko vdrejo v obstoječ e-poštni račun.
- Sestava sporočila:
Sporočilo je pogosto kratko, jedrnato in polno občutka nujnosti:
»Prosim, da do 15. ure nakažeš 12.800 € na priloženi račun. Sem na poti in trenutno nedosegljiv.«
– Direktor (ali pa nekdo, ki se zanj izdaja)
- Manipulacija:
Če zaposleni sporočilu zaupa in nakazilo izvede, je denar izgubljen – velikokrat za vedno. Napadalci pogosto uporabljajo račune v tujini, iz katerih denar hitro prenesejo dalje.
Kakšna je škoda za podjetja?
Po podatkih pravosodnih virov so BEC napadi že najdražja oblika kibernetskih napadov na svetu. Povprečna škoda na incident v Sloveniji znaša nekaj deset tisoč evrov, v svetu (korporacije) pa pogosto govorimo o več sto tisoč evrih.
Primeri iz prakse:
- Nemško industrijsko podjetje je izgubilo 4 milijone evrov, ko je uslužbenka v dobri veri izvedla nakazilo na račun napadalcev.
- Slovensko logistično podjetje je na podlagi lažnega e-sporočila partnerju nakazalo skoraj 100.000 evrov – sredstva so bila prenesena naprej že v nekaj urah.
- Računovodja v IT podjetju je v želji, da ugodi "šefu", poslal davčno številko vseh zaposlenih – zlorabe podatkov so sledile že isti teden.
Primeri seveda niso osamljeni in so redno na tedenski bazi prisotni tudi v Sloveniji.
Kako se lahko zaščitimo pred BEC napadi?
Izobraževanje zaposlenih
Najmočnejše orožje proti napadom so ozaveščeni zaposleni. Poskrbimo lahko, da bodo:
- prepoznali znake lažnih sporočil (čudni e-naslovi, nujnost, nenavadni zahtevki),
- vedeli, da lahko vedno vprašajo ali preverijo, preden nakažejo denar,
- redno vključeni v usposabljanja in simulacije napadov.
Večfaktorska avtentikacija (MFA)
Vedno zaščitite e-poštne račune z dvema korakoma prijave (npr. geslo + SMS koda / potrjevanje v aplikaciji). To močno zmanjša možnost nepooblaščenega dostopa.
Določite jasne protokole za plačila
Vzpostavite postopke, kot so:
- vsak prenos nad določeno vsoto zahteva dvojno odobritev,
- pri nenavadnih zahtevah je obvezen telefonski klic ali dodatna potrditev.
Uporabite zaščitne tehnologije
- SPF, DKIM in DMARC zapisi v DNS preprečujejo ponarejanje e-poštnih domen.
- Napredne varnostne rešitve (npr. Microsoft Defender, Vade) analizirajo vsebino sporočil, vedenjske vzorce in sumljive povezave.
- Orodja za zaznavo anomalij lahko samodejno zaznajo nenavadne aktivnosti (npr. prijava iz druge države).
Redni pregledi in testiranja
- Izvedite lažne BEC simulacije znotraj podjetja.
- Preglejte, kdo ima dostop do občutljivih podatkov in komu je omogočeno izvajanje finančnih transakcij.
Kako se lahko zaščitimo?
Za podjetja, ki bi si želela dodatne zaščite pred tovrstnimi napadi seveda poleg same ozaveščenosti zaposlenih (to je še vedno najbolj učinkovita zaščita) še druge rešitve.
Za podjetja, ki uporabljajo Microsoft 365 Business pakete, bi vsekakor priporočali rešitev Microsoft Defender for Office 365, ki omogoča dodatno zaščito pred lažnimi emaili, povezavami in zlonamerno vsebino.
Podjetjem, ki uporabljajo Google Business Suite obstaja Google-ova varianta z vgrajenimi opcijami proti phishingu v Gmail okolju.
Tu so še rešitve Vade for M365, Barracuda Sentinel, Mimecast, Proofpoint, …, med sabo pa so si (način delovanja) podobne.
Vse rešitve delujejo v ozadju, pogosto brez opazne spremembe za uporabnika, a nudijo pomembno zaščitno plast.
Torej, da povzamemo 5 ključnih ukrepov proti BEC:
- Ozaveščanje zaposlenih je glavni steber obrambe.
- Dvofaktorska avtentikacija naj bo obvezna za vse.
- Vedno preverite neobičajne zahteve – posebej tiste, ki vključujejo večje količine denarja.
- Vzpostavite notranje kontrole za potrjevanje transakcij.
- Uporabite specializirano programsko opremo za varnost e-pošte.
BEC napadi so nevarni zaradi izkoriščanja naše želje po učinkovitosti, zaupanja med sodelavci in pogosto tudi časovne stiske. A s kombiniranjem tehnologije, ozaveščanja in jasnih postopkov se jim lahko uspešno izognemo.
Kako dobro je vaše podjetje pripravljeno na tovrstne grožnje?
Če želite oceno kibernetske varnosti v vašem podjetju ali pomoč pri uvedbi varnostnih ukrepov, nas kontaktirajte.