Oszustwo, którego księgowość nie zauważy. Zmieniali tylko jeden szczegół na fakturze

Przestępcy nie potrzebowali fałszywego prezesa proszącego o pilny przelew ani wiadomości pełnej literówek. Najpierw włamywali się do firmowej poczty i po prostu czytali. Wiedzieli, z kim firma robi interesy, o czym rozmawia i kiedy powinna przyjść faktura. Kiedy właściwy dokument w końcu pojawiał się w skrzynce, po prostu zmieniali w nim jedną rzecz: numer konta. Według CBZC straty przekroczyły już 4 mln zł, a kolejne próby wyłudzeń opiewały na 5,5 mln zł.

To atak typu BEC, czyli Business Email Compromise. W odróżnieniu od masowego phishingu nie polega przede wszystkim na rozesłaniu tysięcy identycznych wiadomości i czekaniu, aż ktoś kliknie. Tutaj najcenniejsza jest cierpliwość.

Według ustaleń CBZC grupa zdobywała dostęp do poczty elektronicznej firm, przechwytywała korespondencję i obserwowała wymianę wiadomości pomiędzy kontrahentami. Dzięki temu przestępcy nie musieli zgadywać, kto komu wystawia fakturę i na jaką kwotę. Widzieli prawdziwy proces biznesowy od środka.

Kiedy w korespondencji pojawiał się dokument do zapłaty, wiadomość mogła zostać ukryta albo usunięta. Następnie oszuści modyfikowali fakturę, podstawiając własny numer rachunku bankowego. Firma otrzymywała dokument, którego kontrahent, kwota i kontekst były prawdziwe. Fałszywe było to, co przy rutynowym przelewie najłatwiej przeoczyć.

Pracownik księgowości może znać dostawcę od lat. Może spodziewać się faktury na konkretną kwotę i rzeczywiście ją dostać. Nie musi być w niej źle napisana nazwa spółki, absurdalna usługa czy podejrzana wiadomość od nieznanego nadawcy. Zmienia się numer konta. I właśnie to jest wyjątkowo paskudne.

Jak pisaliśmy już na Bizblogu w tekście: Nowa plaga w firmach. Księgowe sprawdzają każdą cyferkę na fakturze, właśnie dlatego fałszywe faktury są tak skuteczne. Proces płatności jest rutynowy, a dokument może wyglądać niemal dokładnie tak jak poprzednie.

W opisywanej teraz sprawie pieniądze trafiały na rachunki zakładane przy użyciu skradzionych tożsamości obywateli Belgii i Francji. Śledczy twierdzą, że 36-letni mężczyzna kierujący grupą posługiwał się cudzymi paszportami, aby uzyskiwać numery PESEL, następnie rejestrować działalności gospodarcze i otwierać rachunki. Później wypłacał pieniądze z bankomatów.

CBZC przeprowadziło akcję na Mazowszu i Dolnym Śląsku. Zatrzymano cztery osoby w wieku od 25 do 36 lat: Trzech obywateli Nigerii oraz obywatelkę Polski. Policjanci zabezpieczyli ponad 122 tys. zł w gotówce, telefony i karty bankomatowe.

Zatrzymanym przedstawiono zarzuty dotyczące m.in. udziału lub kierowania zorganizowaną grupą przestępczą, oszustwa i prania pieniędzy. 3 osoby zostały tymczasowo aresztowane na 3 miesiące, a wobec czwartej zastosowano dozór policji. Śledztwo prowadzone pod nadzorem Prokuratury Krajowej w Lublinie nadal się rozwija.

Ta metoda ma bardzo prostą słabość: drugi kanał komunikacji. Jeżeli kontrahent nagle podaje nowy numer rachunku, nie należy odpowiadać na tę samą wiadomość z pytaniem, czy wszystko się zgadza. Jeżeli skrzynka została przejęta, odpowie przecież przestępca i potwierdzi, że jest wszystko ok.

Ministerstwo Cyfryzacji zaleca potwierdzanie zmian rachunków i dużych transakcji innym kanałem – np. telefonicznie, korzystając z wcześniej znanego numeru. Do tego dochodzą uwierzytelnianie wieloskładnikowe poczty, silne hasła i firmowe procedury zatwierdzania zmian danych płatniczych.

Przeczytaj także:

Warto również sprawdzać reguły ustawione w skrzynkach pocztowych. Atakujący po przejęciu konta mogą tworzyć filtry automatycznie przenoszące określone wiadomości do innych folderów albo je usuwające. Dzięki temu właściciel skrzynki nie musi nawet zauważyć, że ktoś razem z nim czyta pocztę.

Jak pisaliśmy jeszcze kilka lat temu przy okazji oszustwa na prezesa, już sama literówka w adresie nadawcy potrafiła wystarczyć do wyprowadzenia z firmy pieniędzy. W BEC jest gorzej, bo przestępca może korzystać z prawdziwego, wcześniej przejętego konta.

Właśnie dlatego najlepszą ochroną przed takim atakiem nie jest wyłącznie dokładniejsze oglądanie maila. Wiadomość może być prawdziwa, faktura może dotyczyć prawdziwej transakcji, a firma rzeczywiście może być winna dokładnie taką kwotę. Czasem całe oszustwo mieści się po prostu w 26 cyfrach rachunku bankowego.

*Źródło grafiki wprowadzającej: Canva Pro