Facturi false și schimbări de IBAN: cum verificați înainte să plătiți

Pe scurt: cea mai costisitoare fraudă pentru o firmă mică sau mijlocie nu este, de obicei, un atac care criptează serverele. Este un e-mail care anunță că furnizorul și-a schimbat contul bancar. Nu sparge nimic, convinge pe cineva. Apărarea nu este un produs, este o procedură de plată pe care o respectă toată lumea.

Cum funcționează, pas cu pas

1. Cineva ajunge într-o căsuță de e-mail. A dumneavoastră sau, la fel de des, a furnizorului. De regulă printr-o parolă refolosită sau un formular fals de autentificare.
2. Citește, fără să schimbe nimic. Săptămâni întregi. Învață cine aprobă plățile, ce sume sunt obișnuite, cum vorbesc oamenii între ei, când se emit facturile.
3. Își pregătește terenul. Creează o regulă care mută pe ascuns mesajele care conțin cuvinte ca „factură” sau „plată”, ca discuția să nu fie văzută de proprietarul real al căsuței. Înregistrează un domeniu aproape identic, cu o literă schimbată.
4. Intervine exact la momentul potrivit. Când o factură reală este pe cale să fie plătită. Trimite aceeași factură, cu același antet și aceeași sumă, cu un singur lucru modificat: contul bancar.
5. Grăbește. Un motiv plauzibil pentru schimbare, o rugăminte să se rezolve azi, uneori o cerere de discreție pentru că „este o chestiune internă”.

De ce trec aceste mesaje de oameni competenți

Pentru că nimic din ele nu este fals, în afară de contul bancar. Factura este reală. Suma este cea așteptată. Discuția continuă un fir de corespondență existent. Persoana care scrie folosește formulările obișnuite, pentru că le-a citit luni la rând.

Instruirea de tipul „nu dați clic pe linkuri suspecte” nu ajută aici, pentru că nu există niciun link și nimic nu pare suspect. Singurul lucru care oprește frauda este o regulă care se aplică independent de cât de convingător pare mesajul.

Semnale care merită oprit plata

• Adresa expeditorului diferă cu un caracter de cea obișnuită, o literă dublată, un rn în loc de m, o terminație de domeniu schimbată.
• Adresa de răspuns este alta decât adresa afișată a expeditorului.
• Contul bancar este deschis în altă țară decât cea în care funcționează furnizorul, sau la o instituție de plată, nu la banca lui obișnuită.
• Numele titularului de cont nu se potrivește exact cu denumirea firmei de pe factură.
• Apare presiune de timp, fie și politicoasă, sau o cerere de a nu discuta cu alți colegi.
• Schimbarea este prezentată ca temporară, din cauza unui audit, a unei blocări de cont sau a unei fuziuni.
• Un director cere o plată urgentă în afara procesului obișnuit, de pe telefon, pentru că „este în ședință”.

Procedura care oprește frauda

Regula de bază are o singură propoziție: o modificare de cont bancar nu se operează niciodată pe baza canalului prin care a venit cererea. Restul sunt detalii de aplicare.

1. Verificare pe canal secundar, obligatoriu. Sunați furnizorul la numărul din contract sau din baza dumneavoastră de date, niciodată la numărul din e-mailul care anunță schimbarea.
2. Vorbiți cu o persoană pe care o cunoașteți, nu cu cine răspunde la un număr nou.
3. Dublă aprobare peste un prag stabilit de dumneavoastră. Două persoane diferite, dintre care una verifică explicit contul, nu doar suma.
4. Prima plată către un cont nou se face cu o sumă mică, confirmată telefonic de furnizor înainte de a vira restul.
5. Modificările de date bancare se consemnează, cu data, persoana care a confirmat și metoda de verificare. Dacă nu există consemnare, nu există modificare.
6. Aceeași regulă se aplică și în sens invers. Anunțați-vă clienții că nu vă schimbați niciodată contul prin e-mail și puneți fraza aceasta pe facturi.

Procedura trebuie să fie scrisă și să se aplice și administratorului. O regulă pe care șeful o ocolește când se grăbește nu este o regulă, iar atacatorii știu exact pe cine să imite.

Ce se configurează tehnic

• Autentificare în doi pași pe toate căsuțele, fără excepții pentru conducere. Majoritatea compromiterilor pornesc de la o parolă, nu de la o vulnerabilitate.
• Alerte la crearea de reguli noi de redirecționare sau de mutare a mesajelor. Este semnul clasic al unei căsuțe compromise și se poate detecta automat.
• Blocarea redirecționării automate către adrese externe.
• SPF, DKIM și DMARC configurate corect pe domeniul dumneavoastră, ca altcineva să nu poată trimite mesaje în numele firmei.
• Marcarea vizibilă a mesajelor venite din exterior, ca un mesaj care pare intern să se vadă imediat că nu este.
• Revizuirea periodică a drepturilor delegate pe căsuțele comune, de tip facturare sau office.

Toate acestea se fac în Microsoft 365 cu licențele pe care probabil le aveți deja. Problema nu este, de obicei, lipsa instrumentelor, ci faptul că nimeni nu le-a activat.

Dacă banii au plecat deja

Primele ore contează cel mai mult, pentru că banii sunt mutați rapid în alte conturi.

1. Sunați imediat banca și cereți oprirea sau recuperarea plății. Cereți și contactarea băncii beneficiare.
2. Depuneți plângere la poliție. Veți avea nevoie de numărul de dosar și pentru bancă, și pentru asigurator.
3. Schimbați parolele conturilor implicate și încheiați sesiunile active.
4. Căutați regulile de redirecționare create în căsuțele afectate și verificați ce alte mesaje au plecat de acolo.
5. Anunțați furnizorul și ceilalți parteneri din corespondența expusă, pentru că atacul continuă de regulă spre ei.
6. Dacă firma intră sub incidența NIS2, verificați dacă incidentul este semnificativ și respectați termenele de raportare.

Ce facem noi și ce rămâne la dumneavoastră

PRO IT configurează partea tehnică: autentificarea în doi pași, politicile de acces, alertele pentru reguli de redirecționare, înregistrările SPF, DKIM și DMARC, marcarea mesajelor externe și protecția antifraudă din serviciul de securitate cibernetică. Dacă nu știți ce este activat acum, auditul IT vă spune în scris.

Procedura de plată rămâne la dumneavoastră, pentru că este o decizie de organizare, nu una tehnică. Niciun furnizor IT nu poate împiedica un virament aprobat de o persoană care avea dreptul să îl aprobe.