Proplaťte fakturu, píše generální? A co když je to podvod?

Představte si situaci, kdy před koncem pracovní doby v kanceláři nebo při práci z domova dostanete od ředitele e-mail. Naléhá, že je potřeba urychleně uzavřít důležitý obchod s velkým partnerem a do konce dne potřebuje odeslat konkrétní sumu peněz. Jak byste se zachovali?

Velmi pravděpodobně pokyny splníte, protože to je přece vaše povinnost. Myslíte si, že níže uvedený e-mail je pravý? Není, ale musíte být velmi pozorní, abyste chybu zaznamenali. Chybný je například email odesílatele a také nesedí oslovení a tykání adresátovi. V kybernetické bezpečnosti mluvíme o tzv. CEO fraud.

Co je to CEO fraud?

CEO fraud je forma spear-phishingu, tedy útoku, který míří na konkrétní osobu, v tomto případě na finanční oddělení společností nebo na účetní tým. Na rozdíl od jiných typů útoků, které cílí na střední nebo vyšší management firem, CEO fraud se snaží přesvědčit zaměstnance, že je potřeba rychle odeslat částku, která je však doručena na účet kybernetických zločinců.

Útočníci využívají technik sociálního inženýrství, zpráva tak může vypadat velmi přesvědčivě a věrohodně.

Jako kterýkoli jiný phishing pracuje se sociálním inženýrstvím a manipuluje s vámi. Typické je využití grafických prvků a reálných jmen. Jméno finančního ředitele i účetní snadno nejdete na internetu. Pokud potřebuje útočník zjistit, jak vypadá formální e-mail jakékoli společnosti, stačí mu poslat poptávku nebo podobnou formální a legitimní žádost.

Dále pak dokáží například změnit adresu odesílatele, takže to skutečně na první pohled vypadá, že vám skutečně píše ředitel firmy. V kombinaci s naléháním na rychlé jednání se můžete dostat do situace, kdy nedokážete vyhodnotit, že se jedná o podvod.

Jak proti této hrozbě ochránit firmu?

První krok, který může vaše firma nebo organizace udělat, je změnit interní směrnice. Například jednoduché pravidlo, že každou finanční transakci musí schválit alespoň dvě osoby, sníží riziko podvodu.

Podobně jako u jiných podvodů je velmi důležitá prevence. Tu můžete zajistit bezpečnostním školením pro finanční oddělení a samozřejmě naléháním na rozvážnost a ostražitost.

Národní centrum kybernetické bezpečnosti doporučuje pro ochranu před spear-phishingem nepovolovat makra v programech, slepě neotevírat přílohy a odkazy v e-mailech. Makra totiž bývají častý nástroj, který útočníci využívají k infikování konkrétního počítače.

Typický scénář vypadá následovně: Účetní dostane e-mailem výzvu k okamžité úhradě faktury po splatnosti. Na tom není nic divného, faktur dostává hromadu a čas od času něco zapadne. Otevře tedy přílohu, aby zjistila, o co se jedná, a soubor žádá povolení maker. Pokud se jedná o útok, stačí odkliknout a problém je na světě.

Doporučujeme také kontrolovat e-mailovou adresu v případě urgentních nebo neobvyklých požadavků.

Pokud e-mail působí podezřele, není nic jednoduššího, než si požadavek ověřit telefonicky. Případně se na nezvyklý obsah zeptat u IT oddělení.

Jak rozpoznat phishingový e-mail?

1. Přemýšlejte o žádosti v e-mailu. Je požadavek neobvyklý nebo podezřelý?
2. Pokud žádost vypadá jako legitimní e-mail z vaší společnosti, kontaktujte kolegu, zda e-mail skutečně odeslal.
3. Buďte opatrní při přijímání e-mailů a souborů od neznámých uživatelů, obzvláště pokud požadují rychlou akci, která nepočká.
4. Pokud je v e-mailu odkaz, ujistěte se, že vede na legitimní webovou stránku zadáním její adresy do svého prohlížeče. Neklikejte ani nekopírujte odkaz uvedený v podezřelém e-mailu.
5. Dejte si pozor na klamavé domény, pravopisné chyby v e-mailech nebo na webových stránkách a neznámé odesílatele.