Ste prejeli sporočilo, v katerem vas je direktor podjetja spraševal o bančnem stanju podjetja in vas prosil za nujno nakazilo zelo visokega zneska na tuj bančni račun? Ne, direktor ni pozabil na ustaljene postopke urejanja finančnih zadev – v tem primeru gre za poskus t. i. direktorske prevare.
Direktorska prevara, znana tudi kot »CEO prevara« (ang. CEO fraud), je primer socialnega inženiringa in je le ena od spletnih prevar, s katerimi želijo goljufi oškodovati gospodarske družbe za več deset tisoč evrov. Ker se pred vsemi prevarami na spletu najbolje zaščitimo s pravim znanjem, vam v nadaljevanju predstavljamo značilnosti CEO prevare in praktične nasvete, kako se takšni goljufiji izogniti.
Kako prepoznate CEO prevaro?
Prevaranti se v elektronskem sporočilu lažno predstavijo kot vodilni predstavnik družbe (npr. predsednik uprave, izvršni direktor, finančni direktor) ali drug zaupanja vreden poslovni partner (npr. odvetnik, notar, revizor), ki od prejemnika sporočila pogosto zahteva absolutno zaupnost, ustvarja pritisk in občutek nujnosti, včasih tudi grozi ali obljublja nagrado.
Goljufi elektronske naslove odgovornih oseb s pooblastili za zastopanje družbe in izvajanje plačilnih nalogov pridobijo na spletni strani podjetja in v javno dostopnih evidencah. V naslednjem koraku računovodstvu pošljejo elektronsko sporočilo z navodili za bančno nakazilo, pri tem pa ponaredijo pošiljateljeve podatke, zato sporočilo na prvi pogled izgleda, kot da ga je zares poslala vodilna oseba v podjetju.
V elektronskem sporočilu je namreč zelo enostavno ponarediti podatke pošiljatelja. Goljufi preprosto odprejo nov elektronski naslov pri enem od brezplačnih ponudnikov elektronske pošte, zato v takih primerih sploh ne gre za vdor v elektronski račun, kot si lahko zmotno predstavljamo. V nekaterih primerih goljufi ponaredijo tudi elektronski naslov pošiljatelja, ki ga vstavijo v polje »Odgovori«.
V nekaterih primerih celo ponaredijo el. naslov pošiljatelja, ter v sporočilo v polje “Reply-To” oz “Odgovori-za” vstavijo nov el. naslov, kamor se pošlje odgovor.
Na sumljiva sporočila ne odgovarjajte!
Če boste na »direktorjevo« sporočilo o nujnem nakazilu odgovorili, boste v naslednjem koraku prejeli podatke o bančnem računu, na katerega morate nakazati denar. Gre za bančni račun v tujini (največkrat v Veliki Britaniji, Španiji in Turčiji, lahko pa tudi v drugih državah), ki pripada t. i. denarni muli. Ta oseba denar takoj po nakazilu dvigne in ga po drugi poti pošlje naprej. Za prenos se najbolj pogosto uporablja plačilne sisteme Western Union in Moneygram, zato se sled za denarjem zelo hitro izgubi.
Kako se izogniti poskusu goljufije?
Če ste prejeli sporočilo, ki izgleda, kot da ga je poslala vodilna oseba v vaši organizaciji, v njem pa vas v polomljeni slovenščini prosi za nujno plačilo ali nakazilo nenavadno visokega zneska, je najbolje, da:
- neobičajno spremembo, povezano s plačili, preverite na drug, neodvisen način (osebno, preko telefona ali telefaksa), še posebej, če poslujete s tujino;
- o poskusu goljufije obvestite sodelavce in vodstvo podjetja, da bodo tudi oni pravočasno prepoznali poskus prevare;
- sporočilo enostavno izbrišete.
Če ste na elektronsko sporočilo pomotoma odgovorili in ste zdaj prejeli novo sporočilo s podatki o bančnem računu, ga takoj posredujte na elektronski naslov cert@cert.si, denarja pa ne nakazujte. Če ste denar nakazali, o tem nemudoma obvestite svojo banko, nato pa pokličite tudi policijo.
Poskrbite za spletno varnost na delovnem mestu
Direktorska prevara ni nova vrsta spletne goljufije – Nacionalni odzivni center za kibernetsko varnost SI-CERT je nanjo opozarjal že leta 2016 – je pa bil ob hitri digitalizaciji družbe v zadnjem obdobju opažen porast tovrstnih poskusov oškodovanja podjetij in organizacij, saj je v elektronskih sporočilih precej enostavno ponarediti podatke pošiljatelja. Za dodatno varnost se zato priporoča uporabo digitalnega podpisovanja elektronske pošte, ki prejemniku zagotavlja istovetnost avtorja sporočila in integriteto sporočil, da vsebina med samim pošiljanjem ni bila spremenjena.
Za varnost na spletu je treba (po)skrbeti tudi na delovnem mestu, zato je ključno, da v podjetju skrbite za redno osveščanje vseh zaposlenih o kibernetski varnosti.
Eden od načinov je tudi brezplačni spletni tečaj, ki ga je SI-CERT zasnoval, da bi zmanjšal število kibernetskih napadov in izboljšal informacijsko varnost podjetij.