Wzost liczby fałszywych maili "od szefa". Firmy w USA straciły już 2,3 mld USD

Przestępstwo znane jako  business email compromise (BEC) to prosty sposób, w jaki hakerzy potrafią wyłudzić znaczne środki od przedsiębiorstw. Do pracownika działu księgowego lub finansowego trafia mail wyglądający identycznie, jak wiadomość od prezesa, szefa działu prawnego lub zaufanego dostawcy. Znajdują się tam dokładne instrukcje dotyczące natychmiastowego przelewu firmowych środków. Nieświadomy niczego księgowy wysyła pieniądze na podane konto – tym samym padając ofiarą oszustwa.

Celami ataków zazwyczaj są firmy współpracujące z zagranicznymi dostawcami lub wykonujące częste przelewy. Pracownika takiej korporacji zazwyczaj nie dziwi nagła informacja o pilnym przelewie za ostatnią dostawę lub usługę. Ofiarami są nie tylko duże przedsiębiorstwa, ale też mniejsze firmy  IT czy organizacje non- profit.

Skala zjawiska jest znaczna. W Stanach Zjednoczonych liczba ofiar od października 2013 do do lutego 2016 r. wyniosła 17,642 przedsiębiorstw. Straty obliczono na blisko 2,3 miliarda USD. Fałszywe wiadomości są skrupulatnie przygotowywane przez przestępców - tak, by formą i treścią jak najbardziej przypominały faktyczne polecenia prezesów.  Przestępcy szukają informacji o ofiarach na stronach internetowych firm oraz na portalu LinkedIn. Według śledczych skala zjawiska nie pozwala mieć nadziei, że problem niebawem zniknie. Wręcz przeciwnie.

Ostatnio ofiarą takiego przestępstwa padła firma Mattel - potentat branży zabawkarskiej. Osoba z władz spółki odebrała e -mail wyglądający identycznie jak wiadomości przysyłane przez prezesa. Znajdowało się tam polecenie przelania 3 mln USD na wskazane konto. Pieniądze zostały wysłane. Władze firmy szybko zorientowały się, że to oszustwo, ale nawet powiadomienie policji oraz FBI niewiele pomogło, bo pieniądze były już w Chinach. Na szczęście dla amerykańskiej firmy dzień po feralnej transakcji w Chinach było święto. Dzięki temu Amerykanie zdążyli powiadomić funkcjonariuszy chińskiej policji, którzy nakazali zamrożenie fałszywego konta. Pieniądze udało się odzyskać, choć później przestępcy ponownie próbowali podobnych kradzieży.

FBI doradza szefom firm przeprowadzenie specjalnego szkolenia dla pracowników, na którym zostaną powiadomieni o istniejącym zagrożeniu. Podwładni nie powinni ufać poleceniom przelewów wysyłanych za pomocą e- maili – zwłaszcza, jeśli są to pilne zlecenia. Takie wiadomości należy za każdym razem weryfikować telefonicznie. Firmy powinny też stosować wielostopniową procedurę uwiarygodniania poleceń płatności.