Oszustwo na prezesa

Cyberprzestępcy coraz częściej nie poprzestają na wysyłaniu maili do kogo popadnie, licząc, że się nabierze i zrobi to, czego oczekują.

Straty firm powstałe w wyniku przejmowania firmowych adresów mailowych są ogromne i rosną. Według FBI tylko podczas ostatnich trzech lat osiągnęły 12,5 miliarda dolarów. Są to dane obejmujące tylko przypadki zgłoszone przez poszkodowanych. Zapewne wiele incydentów zostało zatajonych choćby z przyczyn wizerunkowych. Zresztą sens zgłaszania ataków na firmę jest z ekonomicznego punktu widzenia wątpliwy, gdyż według FBI udaje się odzyskać zaledwie cztery procent utraconych pieniędzy.

W ostatnim czasie coraz popularniejsze stają się tzw. oszustwa „na prezesa”, wycelowane w konkretne osoby. Żeby zrealizować takie oszustwo konieczny jest dostęp do maila, z którego wysyła się zlecenia przelewów – opisuje Forbes(1). Następnie trzeba zdobyć dane pozwalające uwiarygodnić operację. Mogą to być na przykład dane rzeczywistych partnerów firmy. Takie informacje zdobywane są podczas ataku socjotechnicznego.

Przypadek takiego ataku, który miał najprawdopodobniej na celu włamanie się do wewnętrznych systemów firmy. Wykorzystano w nim starą korespondencję mailową z zagraniczną firmą. Właściwa treść maila wysłanego przez hakerów miała się znajdować w zaszyfrowanym załączniku. Takiego załącznika system antywirusowy nie jest w stanie zbadać przed odszyfrowaniem. Wtedy jest już za późno.

Forbes opisuje z kolei przypadek podłączenia przez sekretarkę komórki gościa do USB jej komputera. Chodziło o naładowanie urządzenia gdy innych możliwości nie było pod ręką. Gdyby komórka zawierała jednak oprogramowanie szpiegowskie, mogłaby potencjalnie skopiować z firmowej sieci wrażliwe dane.

Skuteczność działania cyberprzestępcy dokonującego oszustwa „na prezesa” zależna jest od tego, jakie dane poza mailem udało mu się zdobyć. Jeśli ma dostęp do historii relacji z firmą współpracującą może wykorzystać tę wiedzę. Jeśli dysponuje historią przelewów może poprosić o zmianę rachunku do odbioru pieniędzy.

Jak udowadnia wiele badań, najsłabszym ogniwem systemu zabezpieczeń firmy często jest człowiek. Warto więc szkolić pracowników i uświadamiać im, czemu służą procedury, nawet jeśli niekiedy są postrzegane przez nich jako uciążliwe.