Falošná faktúra a zmena IBANu: podvod, ktorý stojí obce najviac
Zmluvy samosprávy sú verejné, takže útočník pozná dodávateľa aj sumu. Stačí mu presvedčiť ekonomické oddelenie, aby zaplatilo na iný účet. Ako to vyzerá a aké dve kontroly to zastavia.
V skratke
- Útočník nič nehackuje — číta zverejnené zmluvy a faktúry a napíše presne to, čo očakávate.
- Rozhodujúci moment je zmena bankového spojenia. To je jediná vec, ktorú treba vždy overiť telefonicky.
- Overovacie číslo sa nikdy nesmie brať zo správy, ktorá zmenu ohlasuje — len zo zmluvy.
- Dve kontroly stačia: telefonické overenie zmeny IBANu a schválenie platby druhou osobou.
Tento podvod je pre útočníka mimoriadne výhodný: nepotrebuje malvér, nepotrebuje zraniteľnosť a nepotrebuje ani prístup do vašej siete. Potrebuje len vedieť, komu platíte — a to je v samospráve verejná informácia.
Prieskum, ktorý je legálny a zadarmo
Zmluvy, faktúry a objednávky obcí a miest sú zverejňované. Útočník si z nich prečíta:
- názov dodávateľa a predmet plnenia,
- približnú výšku a periodicitu platieb,
- meno a e-mail osoby, ktorá zmluvu podpísala,
- často aj formát, akým obec komunikuje.
Potom zaregistruje doménu, ktorá sa na tú dodávateľskú podobá — ekoodvoz-sk.eu namiesto ekoodvoz.sk — a napíše správu, ktorá do vášho pracovného dňa presne pasuje.
Ako tá správa vyzerá
Nie je hrubá ani podozrivá. Je nudná:
*Dobrý deň, oznamujeme vám, že od októbra prechádzame na nové bankové spojenie. Platby za zber odpadu posielajte, prosím, na účet uvedený v prílohe. Z dôvodu reorganizácie sme momentálne telefonicky nedostupní.*
Všetko je vierohodné okrem jednej vety. „Telefonicky nedostupní“ je celý podvod — je to jediná prekážka medzi útočníkom a peniazmi a on ju musí odstrániť sám.
Variant s „pokynom od starostu“
Druhá verzia nechodí od dodávateľa, ale zvnútra. Na ekonomické oddelenie príde správa od starostu, prednostu alebo riaditeľa: úhrada je súrna, rieši sa mimo bežného procesu a nemá sa o nej hovoriť, kým nie je hotová. Niekedy pridá aj telefonát s hlasom, ktorý ten hlas naozaj pripomína — hlas sa dnes dá vygenerovať z pár sekúnd nahrávky z verejného vystúpenia.
Hierarchia je pritom presne to, na čo útočník tlačí. Zamestnanec, ktorý má overiť „súrny pokyn nadriadeného“, riskuje nepríjemný rozhovor. Zamestnanec, ktorý ho neoverí, riskuje rozpočet obce.
Dve kontroly, ktoré to zastavia
Nepotrebujete nový softvér. Potrebujete dve veci napísané v internom postupe:
| Kontrola | Ako presne |
|---|---|
| Overenie zmeny IBANu | Telefonicky, na čísle zo zmluvy alebo z vašej vlastnej evidencie — nikdy nie na čísle z oznamovacej správy. Overujete zmenu, nie správu. |
| Štyri oči pri platbe | Platbu pripravuje jedna osoba, uvoľňuje druhá. Druhá osoba kontroluje najmä to, či sa zmenil účet príjemcu. |
K nim sa hodí tretia, technická: vo firemnej schránke zapnúť viditeľné označenie správ z externých domén. Zamestnanec potom vidí, že „starosta“ píše odkiaľsi zvonku.
Čo robiť, keď platba už odišla
Čas rozhoduje. Postupne, nie sekvenčne — volajte paralelne:
- Banku, okamžite, so žiadosťou o zastavenie/spätné stiahnutie platby.
- Políciu — trestné oznámenie; pri cezhraničných prevodoch je oznámenie podmienkou pre ďalšie kroky.
- Skutočného dodávateľa, aby vedel, že jeho identita je zneužívaná, a aby ste zistili, či podvod nezasiahol viac odberateľov.
Ponechajte pôvodné e-maily vrátane hlavičiek — nemažte ich a nepreposielajte ich preformátované. Sú to dôkazy.
Prečo je to školenie, a nie IT projekt
Žiadny filter nezachytí správu z novej domény, ktorá nemá prílohu ani odkaz a obsahuje len číslo účtu. Túto konkrétnu vec zastaví človek na ekonomickom oddelení, ktorý vie, čo si má pri zmene IBANu overiť — a má na to postup, ktorý ho pri tom kryje.