Pošlete prosím ihned půl milionu korun na účet této společnosti, je třeba uhradit zálohu na nákup materiálu. Tak může vypadat podvodný e-mail, který přijde firemnímu účetnímu z adresy generálního ředitele a nemusí vykazovat žádné známky něčeho nekalého. Ve skutečnosti jej však formuluje zloděj, který využil metod takzvaného sociálního inženýrství a pomocí zprávy se pokouší z napadané společnosti vylákat peníze. Nemusí se přitom ani nabourat do interní elektronické pošty poškozené firmy.
„Jde o poměrně častý jev, kdy se útočník snaží přesvědčit fakturační oddělení firmy k zaplacení faktury na svůj účet,“ konstatuje technický ředitel společnosti ESET Miroslav Dvořák. Pachatel k zaslání podvodného e-mailu obvykle zneužije server jiné společnosti, většinou ze zahraničí, a také cizí e-mailový účet, aby nebyl dohledatelný. Rozeznat podvodný e-mail od skutečné zprávy generálního ředitele je takřka nemožné, protože útočník často napadenou firmu delší dobu monitoruje a má přehled o tom, jak ředitel svoje e-maily podřízeným formuluje.
„Ideální je, když se takový falešný e-mail k zaměstnancům vůbec nedostane, tedy že si firma využitím bezpečnostní technologie zajistí filtraci elektronické pošty,“ říká Miroslav Dvořák. Příkladem může být použití digitálního podpisu zpráv. „Problém je spíše v opomíjení nasazení těchto bezpečnostních prvků nebo špatném nastavení, než v jejich neexistenci,“ míní technický ředitel ESETu.
„U externí komunikace stojí za zmínku různé techniky používané v antispamových systémech na ověření reputace odesílatele či jeho autentičnosti. Jde o DKIM, SPF, či verifikaci různých DNS záznamů,“ vypočítává Dvořák.
Je potřeba myslet i na lidský faktor
Pokud firma tyto typy ochrany opomíjí, musí se spoléhat na lidský faktor, tedy že se zaměstnanci účetního oddělení nenechají napálit phishingovou zprávou. „Je třeba ji podrobně pročíst a všímat si všeho, co by mohlo být nějak podezřelé: překlepů, chybných formulací, špatné češtiny… A samozřejmě si požadavek na proplacení faktury osobně ověřit od manažera, který ho měl prostřednictvím e-mailu vznést,“ líčí Dvořák.
Takto se zachoval účetní jedné české společnosti, kterou útočník požádal o vyplacení 26 tisíc euro (v přepočtu 700 tisíc korun). Z opatrnosti se zeptal jednatele, zda požadavek skutečně platí a tak se přišlo na podvod, kvůli kterému společnost podala trestní oznámení na neznámého pachatele. Útočníka se však nepodařilo vypátrat. E-mail, který obsahoval požadavek na proplacení faktury, byl registrovaný ve Spojených státech a nic bližšího se k němu nepodařilo zjistit.
„U dobře naplánovaného a provedeného útoku jsme schopni bez problémů zmapovat útočníkovu cestu. Zjistit jeho konkrétní identitu je už mnohem složitější,“ potvrzuje Miroslav Dvořák. Zločinci obvykle zneužijí jak cizí e-mailovou schránku, tak server, z něhož zprávu zasílají. Ne každá napadená firma má tak svědomité účetní, aby si ověřovali všechny elektronicky podané požadavky na proplácení faktur, a tak se podle technického ředitele ESETu čas od času stane, že některá společnost falešnou fakturu skutečně proplatí. Málokterá firma se k tomu ale přizná a oznámí věc Policii.