CEO fraud και ψεύτικα τιμολόγια: η απάτη που αδειάζει εταιρικούς λογαριασμούς

Μια Παρασκευή απόγευμα, η υπεύθυνη λογιστηρίου λαμβάνει email από τον διευθύνοντα σύμβουλο. Είναι σε ταξίδι, δεν μπορεί να μιλήσει, κλείνει μια εξαγορά και χρειάζεται επειγόντως μια μεταφορά σε λογαριασμό στο εξωτερικό. «Εμπιστευτικό, μην το συζητήσεις με κανέναν». Η πληρωμή γίνεται. Τη Δευτέρα ο διευθύνων σύμβουλος δεν έχει ιδέα για τι πρόκειται.

Αυτό είναι το CEO fraud, μια μορφή της απάτης που διεθνώς ονομάζεται business email compromise. Μαζί με τα ψεύτικα τιμολόγια, όπου ένας «προμηθευτής» ενημερώνει για αλλαγή τραπεζικού λογαριασμού, είναι από τις πιο αποτελεσματικές απάτες κατά επιχειρήσεων. Δεν χρειάζεται τεχνικές γνώσεις υψηλού επιπέδου. Χρειάζεται καλή προετοιμασία, πειστικό κείμενο και μια εταιρεία χωρίς διαδικασία επιβεβαίωσης.

Οι δύο βασικές μορφές της απάτης

Το email «από τη διοίκηση»

Ο απατεώνας υποδύεται ανώτατο στέλεχος και απευθύνεται σε κάποιον με εξουσία πληρωμών. Το μήνυμα έχει πάντα τα ίδια συστατικά: επείγον, εμπιστευτικότητα, αδυναμία τηλεφωνικής επικοινωνίας και μια εξήγηση που ακούγεται λογική, όπως εξαγορά, πρόστιμο ή μυστική διαπραγμάτευση.

Το τιμολόγιο με τον «νέο» λογαριασμό

Εδώ ο απατεώνας υποδύεται έναν πραγματικό προμηθευτή σας. Συχνά έχει αποκτήσει πρόσβαση στο email του προμηθευτή ή στο δικό σας, και γνωρίζει ακριβώς ποια τιμολόγια εκκρεμούν. Στέλνει ένα μήνυμα που μοιάζει απόλυτα φυσιολογικό: ίδιο ύφος, ίδια υπογραφή, ίδιο τιμολόγιο, μόνο με διαφορετικό IBAN.

Αυτή η μορφή είναι πιο επικίνδυνη, γιατί δεν «φωνάζει» απάτη. Η πληρωμή είναι αναμενόμενη, το ποσό σωστό, ο προμηθευτής γνωστός.

Πώς προετοιμάζεται μια τέτοια επίθεση

Η απάτη σπάνια είναι τυχαία. Οι δράστες συνήθως:

• μελετούν το εταιρικό site, τα επαγγελματικά προφίλ των στελεχών και τις ανακοινώσεις, για να μάθουν ποιος αποφασίζει και ποιος πληρώνει
• δημιουργούν domain που μοιάζει με το δικό σας, με ένα γράμμα διαφορά ή διαφορετική κατάληξη
• αποκτούν πρόσβαση σε έναν λογαριασμό email μέσω phishing και παρακολουθούν την αλληλογραφία για εβδομάδες
• επιλέγουν τη στιγμή: διακοπές, ταξίδι στελέχους, τέλος μήνα, απόγευμα Παρασκευής

Η πληροφόρηση που χρησιμοποιούν προέρχεται συχνά από την ίδια την εταιρεία. Γι' αυτό η απάτη αυτή συνδέεται στενά με τη διαρροή πληροφοριών και με την κοινωνική μηχανική.

Τα σημάδια που πρέπει να σας κάνουν να σταματήσετε

• Επείγον και μυστικότητα μαζί. Ένα πραγματικό στέλεχος σπάνια ζητά να παρακαμφθούν όλες οι διαδικασίες και ταυτόχρονα να μη μάθει κανείς τίποτα.
• Αλλαγή τραπεζικών στοιχείων με email. Κάθε τέτοια αλλαγή θεωρείται ύποπτη μέχρι να επιβεβαιωθεί με άλλο τρόπο.
• Διεύθυνση email που «σχεδόν» ταιριάζει. Ελέγξτε το πλήρες domain, όχι μόνο το όνομα που εμφανίζεται.
• Απάντηση που πάει αλλού. Πατήστε «απάντηση» και δείτε σε ποια διεύθυνση πηγαίνει το μήνυμα.
• Ασυνήθιστη γλώσσα. Ύφος πιο τυπικό ή πιο φιλικό από το συνηθισμένο, μικρά λάθη, διαφορετική υπογραφή.
• Λογαριασμός σε άλλη χώρα ή σε τρίτο πρόσωπο χωρίς σαφή επιχειρηματικό λόγο.

Διαδικασίες που κλείνουν την πόρτα

Η καλύτερη προστασία δεν είναι τεχνολογική, είναι οργανωτική. Μερικοί απλοί κανόνες σταματούν τις περισσότερες απόπειρες.

1. Επιβεβαίωση με δεύτερο κανάλι. Κάθε αλλαγή IBAN ή ασυνήθιστη πληρωμή επιβεβαιώνεται με τηλεφώνημα σε αριθμό που ήδη έχετε στα αρχεία σας, όχι σε αριθμό που αναφέρεται στο ίδιο email.
2. Δύο υπογραφές. Πληρωμές πάνω από ένα όριο απαιτούν έγκριση από δύο πρόσωπα.
3. Γραπτή πολιτική. Όλοι οι εργαζόμενοι γνωρίζουν ότι η διοίκηση δεν θα ζητήσει ποτέ παράκαμψη των διαδικασιών με email, και ότι κανείς δεν θα τιμωρηθεί επειδή καθυστέρησε μια πληρωμή για να την επιβεβαιώσει.
4. Προστασία λογαριασμών. Έλεγχος ταυτότητας δύο παραγόντων σε όλα τα εταιρικά email και ειδοποίηση για κανόνες προώθησης που δημιουργούνται χωρίς λόγο.
5. Εκπαίδευση. Μια σύντομη ενημέρωση του λογιστηρίου, με πραγματικά παραδείγματα μηνυμάτων, έχει μεγαλύτερη αξία από πολλά λογισμικά.

Τι κάνετε τις πρώτες ώρες αν πληρώσατε

Ο χρόνος είναι ο σημαντικότερος παράγοντας. Ακολουθήστε τη σειρά:

1. Καλέστε αμέσως την τράπεζά σας και ζητήστε ανάκληση ή δέσμευση της μεταφοράς. Ζητήστε να ειδοποιηθεί και η τράπεζα του παραλήπτη.
2. Κάντε καταγγελία στη Διεύθυνση Δίωξης Ηλεκτρονικού Εγκλήματος (11188) ή στο πλησιέστερο αστυνομικό τμήμα.
3. Μη σβήσετε τίποτα. Κρατήστε τα email με τις πλήρεις κεφαλίδες, τα τιμολόγια, τα αρχεία καταγραφής.
4. Αλλάξτε κωδικούς στους λογαριασμούς που μπορεί να έχουν παραβιαστεί, με τη βοήθεια του τεχνικού σας.
5. Ενημερώστε τον προμηθευτή με τηλέφωνο, αν η απάτη έγινε στο όνομά του, γιατί μπορεί να έχει παραβιαστεί και ο δικός του λογαριασμός.
6. Συμβουλευτείτε δικηγόρο για τις νομικές ενέργειες και για τυχόν υποχρέωση γνωστοποίησης περιστατικού προσωπικών δεδομένων κατά τον GDPR.

Ένα υποθετικό παράδειγμα

Ας υποθέσουμε ότι μια εταιρεία εισαγωγών συνεργάζεται εδώ και χρόνια με έναν προμηθευτή στο εξωτερικό. Ένα πρωί, ο υπεύθυνος πληρωμών λαμβάνει από τη γνωστή διεύθυνση του προμηθευτή ένα ευγενικό μήνυμα: λόγω ελέγχου από την τράπεζά τους, οι πληρωμές του μήνα πρέπει να γίνουν σε νέο λογαριασμό. Το μήνυμα συνοδεύεται από επιστολή σε επιστολόχαρτο της εταιρείας, με σφραγίδα και υπογραφή.

Ο υπάλληλος δεν έχει κανέναν λόγο να υποψιαστεί κάτι. Το email προέρχεται από την πραγματική διεύθυνση, γιατί ο λογαριασμός του προμηθευτή έχει παραβιαστεί. Η μόνη άμυνα είναι ένας κανόνας: κάθε αλλαγή IBAN επιβεβαιώνεται τηλεφωνικά, σε αριθμό από τα αρχεία της εταιρείας, με πρόσωπο που ήδη γνωρίζετε. Ένα τηλεφώνημα πέντε λεπτών θα είχε αποκαλύψει ότι ο προμηθευτής δεν έστειλε ποτέ τέτοιο μήνυμα.

Μετά το περιστατικό: τι αλλάζει στην εταιρεία

Μια απόπειρα CEO fraud, πετυχημένη ή όχι, είναι ευκαιρία για ειλικρινή αξιολόγηση. Οι ερωτήσεις που αξίζει να απαντηθούν είναι απλές:

• Ποια πρόσωπα μπορούν να εκτελέσουν πληρωμή χωρίς δεύτερη έγκριση;
• Ποιες πληροφορίες για τη δομή της εταιρείας και τις συναλλαγές της είναι δημόσια διαθέσιμες χωρίς λόγο;
• Πόσο γρήγορα μπορεί ένας εργαζόμενος να ενημερώσει κάποιον υπεύθυνο, οποιαδήποτε ώρα;
• Ποιοι εξωτερικοί συνεργάτες έχουν πρόσβαση σε εταιρική αλληλογραφία ή συστήματα;

Οι απαντήσεις συχνά οδηγούν σε μικρές αλλαγές με μεγάλο αποτέλεσμα, και κάνουν την εταιρεία πολύ λιγότερο ελκυστικό στόχο για την επόμενη απόπειρα.

Πού βοηθά ένας ιδιωτικός ερευνητής

Η δίωξη του εγκλήματος ανήκει στις αρχές. Υπάρχουν όμως ερωτήματα που μια επιχείρηση χρειάζεται να απαντήσει η ίδια, και εκεί ένα γραφείο ιδιωτικών ερευνών μπορεί να βοηθήσει νόμιμα.

• Πώς διέρρευσαν οι πληροφορίες. Ποιος ήξερε για την εκκρεμή πληρωμή, πώς βρήκαν οι δράστες τα στοιχεία, αν υπάρχει εσωτερική εμπλοκή.
• Έλεγχος εταιρικών συστημάτων. Με τη συναίνεση της επιχείρησης και στο πλαίσιο της πολιτικής χρήσης, εξετάζονται οι εταιρικοί υπολογιστές και λογαριασμοί για ίχνη παραβίασης, όπως στον έλεγχο ηλεκτρονικού υπολογιστή.
• Τεκμηρίωση για τον δικηγόρο. Χρονολόγιο του περιστατικού, συγκέντρωση των στοιχείων με τρόπο που διατηρεί την αξιοπιστία τους, αναφορά που μπορεί να συνοδεύσει την καταγγελία.
• Έρευνα στα πρόσωπα πίσω από τον λογαριασμό-αποδέκτη, όπου αυτό είναι εφικτό από δημόσιες πηγές, σε συνεργασία με τον δικηγόρο σας. Τα στοιχεία τραπεζικών λογαριασμών δεν είναι προσβάσιμα σε ιδιώτη, και αυτό το αναλαμβάνουν οι αρχές.

Για υποθέσεις με εσωτερική διάσταση ή οργανωμένα σχήματα, δείτε και την ενότητα των οικονομικών εγκλημάτων.

Επόμενα βήματα

Αν η επιχείρησή σας δέχτηκε απόπειρα CEO fraud ή πλήρωσε ψεύτικο τιμολόγιο, ή αν θέλετε να ελέγξετε τις διαδικασίες σας πριν συμβεί, μιλήστε μας. Η πρώτη συζήτηση είναι δωρεάν, εμπιστευτική και χωρίς δέσμευση, και θα λάβετε σαφές σχέδιο με γραπτή εκτίμηση κόστους πριν από την έναρξη.

Είμαστε διαθέσιμοι 24 ώρες το 24ωρο στο 210 321 2200 και στο 699 321 2200.