ανάγνωση σε: 15 λεπτά
Του Νίκου Μαρκόπουλου | CEO & Founder, AEGIS CyberOps
Μια παραβίαση email σπάνια σταματά εκεί. Συχνά είναι απλώς το πρώτο βήμα προς μια πολύ πιο ακριβή απάτη, και τα θύματα δεν είναι πάντα μόνο η επιχείρηση που παραβιάστηκε.
Τρεις εβδομάδες μετά το ύποπτο email της υπηρεσίας μισθοδοσίας, ένας πελάτης του λογιστικού γραφείου (μια μικρή εμπορική επιχείρηση) λαμβάνει ένα μήνυμα που φαίνεται να προέρχεται από το γραφείο: «Αλλάξαμε τραπεζικό λογαριασμό. Παρακαλούμε η επόμενη πληρωμή των 25.000 ευρώ να γίνει στο νέο IBAN.» Το email έχει τη σωστή υπογραφή, το σωστό λογότυπο, ακόμη και αναφορές σε πραγματική, προηγούμενη συζήτηση. Ο υπάλληλος του πελάτη κάνει το έμβασμα. Δύο μέρες αργότερα, ένα τηλεφώνημα ξεκαθαρίζει ότι το γραφείο δεν είχε στείλει ποτέ τέτοιο μήνυμα, ούτε είχε αλλάξει IBAN. Τα χρήματα έχουν ήδη φύγει.
Δεν πρόκειται για υποθετικό σενάριο, αλλά για το τυπικό μοτίβο του λεγόμενου Business Email Compromise, που ξεκινά ακριβώς από εκεί που σταματήσαμε στο προηγούμενο άρθρο: από έναν λογαριασμό email που κάποιος παραβίασε αθόρυβα, χωρίς να αλλάξει τίποτα ορατό.
Τι μπορεί πραγματικά να δει κανείς μέσα σε ένα email
Ανοίξτε νοητά τα τελευταία δύο χρόνια ενός επαγγελματικού λογαριασμού email: τιμολόγια, IBAN, ΑΦΜ, συμβάσεις, μισθοδοσίες, στοιχεία πελατών, σκαναρισμένα έγγραφα, συζητήσεις με τράπεζες, πληροφορίες για το ποιος εγκρίνει πληρωμές. Ακόμη κι αν δεν υπάρχει κάπου ένα αρχείο με όνομα «κωδικοί», οι πληροφορίες που ήδη υπάρχουν εκεί συχνά αρκούν για να σχεδιαστεί μια πολύ πειστική επόμενη επίθεση.
Αν πρόκειται για λογιστικό γραφείο, το πρόβλημα πολλαπλασιάζεται: ο δράστης μπορεί πλέον να γνωρίζει ποιος είναι πελάτης, ποια εταιρεία συνεργάζεται με ποια, ποιος στέλνει και ποιος περιμένει χρήματα, ποιο είναι το ΑΦΜ και το email κάθε πλευράς. Τα επόμενα μηνύματά του δεν είναι πια τυχαία: βασίζονται σε πραγματικές, εσωτερικές πληροφορίες, και γι’ αυτό είναι τόσο πειστικά.
Το τηλεφώνημα που κανείς δεν θέλει να δεχτεί
«Είμαι πελάτης σας εδώ και δέκα χρόνια. Μόλις έχασα 25.000 ευρώ. Το email που με οδήγησε στην πληρωμή φαινόταν να προέρχεται από εσάς. Πώς βρέθηκαν τα στοιχεία μου στα χέρια τους;»
Στην πλειονότητα αυτών των υποθέσεων, η επικοινωνία με τον δράστη έχει προηγηθεί για ημέρες ή και εβδομάδες πριν από την τελική «οδηγία πληρωμής». Ο δράστης παρακολουθεί σιωπηλά τη συνεννόηση ανάμεσα σε γραφείο και πελάτη, περιμένει τη στιγμή που πλησιάζει μια πραγματική πληρωμή, και τότε παρεμβαίνει με ένα μήνυμα που μοιάζει απόλυτα φυσικό μέσα στη συζήτηση. Αυτό είναι που κάνει τέτοιες απάτες τόσο δύσκολο να εντοπιστούν εκ των προτέρων.
Είναι η ερώτηση που κάθε επαγγελματίας που διαχειρίζεται δεδομένα τρίτων πρέπει να έχει σκεφτεί πριν χτυπήσει το τηλέφωνο, όχι την ώρα που χτυπάει. Και συνήθως ακολουθεί μια δεύτερη, ακόμη πιο δύσκολη: «Τι μέτρα ασφαλείας είχατε λάβει για τα δικά μου δεδομένα;»
Το κόστος δεν είναι μόνο τα χρήματα που έφυγαν
Μετά από ένα τέτοιο περιστατικό, μια επιχείρηση συνήθως χρειάζεται να διερευνήσει ποια συστήματα και ποιοι λογαριασμοί επηρεάστηκαν, ποια δεδομένα εκτέθηκαν, ποιοι πελάτες κινδυνεύουν, αν πρέπει να ενημερωθούν αρχές ή οι ίδιοι οι πελάτες, και όλα αυτά ενώ η καθημερινή δουλειά πρέπει να συνεχιστεί κανονικά, με πελάτες που τηλεφωνούν ανήσυχοι και ρωτούν τι ακριβώς συνέβη.
Είναι σημαντικό εδώ να μην υπεραπλουστεύουμε: μια παραβιασμένη συσκευή ή ένα παραβιασμένο email δεν σημαίνει αυτόματα πρόσβαση σε κάθε τραπεζικό λογαριασμό ή στο TAXIS. Οι περισσότερες υπηρεσίες έχουν δικές τους πρόσθετες δικλείδες. Σημαίνει όμως ότι ο δράστης έχει αποκτήσει ένα σημείο εκκίνησης, στοιχεία και αξιοπιστία που δεν έπρεπε ποτέ να έχει, και αυτό αρκεί συχνά για να στηθεί μια απάτη σαν αυτή του παραδείγματος.
Το ίδιο το λογιστικό γραφείο, στο μεταξύ, βρίσκεται σε μια δύσκολη θέση ακόμη κι αν τα δικά του χρήματα δεν κινδύνεψαν ποτέ: ο πελάτης που ζημιώθηκε δεν ξεχωρίζει εύκολα ανάμεσα σε «εσείς φταίτε» και «κάποιος υποδύθηκε εσάς». Η εμπιστοσύνη, όμως, χτυπιέται εξίσου και στις δύο περιπτώσεις.
«Σε εμένα δεν θα συμβεί» δεν είναι στρατηγική
Η σωστή ερώτηση δεν είναι αν θα δεχτείτε ποτέ ένα τέτοιο email. Κάποια στιγμή, κάποιος στην επιχείρησή σας πιθανότατα θα δεχτεί. Η σωστή ερώτηση είναι αν η επιχείρησή σας έχει διαδικασίες που εμποδίζουν ένα τέτοιο email να μετατραπεί σε πραγματική απώλεια χρημάτων. Μια απλή επαλήθευση με τηλέφωνο πριν από κάθε αλλαγή τραπεζικού λογαριασμού μπορεί να είναι αρκετή για να σταματήσει ολόκληρη την απάτη.
Στο τελευταίο άρθρο της σειράς θα δούμε τι σημαίνει όλο αυτό νομικά και οικονομικά για την ίδια την επιχείρηση, και ποιος, τελικά, καλείται να πληρώσει.
| 5 ΠΡΑΓΜΑΤΑ ΠΟΥ ΠΡΕΠΕΙ ΝΑ ΚΑΝΕΤΕ ΑΥΡΙΟ ΤΟ ΠΡΩΙ
1. Θεσπίστε κανόνα: καμία αλλαγή IBAN ή μεγάλη πληρωμή δεν εκτελείται χωρίς τηλεφωνική επιβεβαίωση σε γνωστό, ήδη καταγεγραμμένο αριθμό. Ποτέ σε αριθμό που αναγράφεται στο ίδιο το ύποπτο email. 2. Ζητήστε διπλή έγκριση (δύο διαφορετικά άτομα) για πληρωμές πάνω από ένα όριο που θα ορίσετε. 3. Ελέγξτε τους κανόνες αυτόματης προώθησης (forwarding rules) στο εταιρικό σας email. Είναι συχνό εργαλείο παρακολούθησης από επιτιθέμενους. 4. Κρατήστε ένα απλό, γραπτό σχέδιο: ποιον καλείτε πρώτο αν υποψιαστείτε παραβίαση (τεχνικό συνεργάτη, τράπεζα, δικηγόρο). 5. Βεβαιωθείτε ότι έχετε πρόσφατα αντίγραφα ασφαλείας των κρίσιμων αρχείων, αποθηκευμένα εκτός του κύριου συστήματος. |