Jak działa scam z przejęciem skrzynki mailowej księgowości?

Co musisz wiedzieć

Business Email Compromise (BEC) to oszustwo, w którym przestępca przejmuje dostęp do skrzynki mailowej albo skutecznie podszywa się pod zaufany adres lub osobę w firmie, aby wyłudzić pieniądze lub dane. Częstym celem są skrzynki księgowości, zarządu oraz osób zatwierdzających płatności. Jednym z najczęstszych punktów wejścia jest phishing, ale atak może zacząć się także od przejętego hasła, złośliwego oprogramowania albo słabego zabezpieczenia konta.

Czym jest Business Email Compromise (BEC)

BEC to rodzaj oszustwa, w którym przestępca wykorzystuje zaufanie do komunikacji e-mailowej, aby nakłonić ofiarę do wykonania przelewu, zmiany danych do płatności albo ujawnienia wrażliwych informacji. Nie zawsze oznacza to pełne przejęcie skrzynki — czasem chodzi o bardzo wiarygodne podszycie się pod kontrahenta, prezesa lub pracownika działu finansowego. Często atakowana jest księgowość, zarząd lub osoby z uprawnieniami do zatwierdzania płatności.

Phishing jako częsty punkt wejścia

Bardzo częstym sposobem rozpoczęcia ataku jest phishing: e-mail z linkiem do fałszywej strony logowania, wiadomość podszywająca się pod dział IT albo załącznik prowadzący do kradzieży danych logowania. Po wpisaniu hasła na fałszywej stronie oszust może uzyskać dostęp do skrzynki. Sam phishing nie jest jednak jedyną drogą — ryzyko rośnie także przy ponownym używaniu haseł, braku MFA albo zainfekowanym urządzeniu.

Monitorowanie korespondencji i wstrzyknięcie wiadomości

Po uzyskaniu dostępu do skrzynki oszust może czytać korespondencję, obserwować obieg faktur, terminy płatności i styl komunikacji. Dzięki temu w odpowiednim momencie wysyła wiadomość o "zmianie" rachunku bankowego, "aktualizacji" danych do przelewu albo pilnej płatności. Taka wiadomość bywa szczególnie niebezpieczna, gdy pochodzi z prawdziwej przejętej skrzynki lub jest wysłana w istniejącym wątku korespondencji.

Objawy przejętej skrzynki

Podejrzane objawy to między innymi: logowania z nieznanych urządzeń lub lokalizacji, alerty o nietypowej aktywności, brakujące wiadomości, nieznane reguły poczty, automatyczne przekierowanie wiadomości na obcy adres, dziwne odpowiedzi automatyczne, a także sygnały od kontrahentów, że otrzymali nietypowe maile z waszego adresu. W praktyce atakujący często tworzą reguły, które ukrywają wybrane wiadomości, oznaczają je jako przeczytane, usuwają albo przekazują dalej.

Zabezpieczenia: MFA, alerty logowania, polityka haseł i kontrola reguł

Włącz uwierzytelnianie wieloskładnikowe (MFA) na wszystkich skrzynkach i systemach powiązanych z finansami. Korzystaj z silnych, unikalnych haseł oraz menedżera haseł. Monitoruj alerty o logowaniach z nowych urządzeń lub lokalizacji oraz regularnie sprawdzaj, czy na skrzynkach nie pojawiły się nieautoryzowane reguły przekierowań, usuwania lub ukrywania wiadomości. Ogranicz liczbę osób mających dostęp do skrzynek i systemów płatniczych oraz wprowadź procedurę niezależnego potwierdzania zmiany rachunku bankowego innym kanałem niż e-mail. W przypadku podejrzenia przejęcia natychmiast zmień hasło, unieważnij aktywne sesje, sprawdź reguły skrzynki i zgłoś incydent.

FAQ

Powiązane tematy

• Zmiana numeru rachunku bankowego – kiedy to scam?
• Atak typu zmiana danych do płatności
• Oszustwo na pilną korektę faktury
• KSeF bezpieczeństwo i cyberbezpieczeństwo