Podvodník si zistil moje meno a nielen to. Napísal kolegovi a pokúsil sa nám vybieliť firemný účet. Pozor na tento online podvod
Podvodník sa vydával za šéfa a snažil sa získať 15 240 eur cez falošnú e-mailovú komunikáciu. Použil moje meno, dátum narodenia aj adresu. Takto vyzerá moderný CEO fraud útok v praxi.
Natrafiť dnes na online podvod je nesmierne jednoduché. Ľahko sa z výsledku vyhľadávania môžeš prekliknúť na falošný e-shop, prípadne na podvodný obsah vygenerovaný cez AI. Niektoré podvody sú však prefíkanejšie než iné.
Pravdepodobne ti už niekto niekedy poslal SMS správu o „nedoručenom balíku“, aby si doplnil adresu a platobné údaje. Tento podvod je už celkom okukaný a málokto sa dnes nechá nachytať. Najnovšie útoky sú však oveľa viac personalizované.
Dnes nám do schránky prišiel e-mail s mojím menom. Zo zvedavosti som sa predstavil ako „Lucia“ a odpísal som šéfovi, teda sebe.
Ide o typ podvodu, ktorý sa označuje ako CEO fraud alebo Business Email Compromise (BEC). Útočník sa vydáva za šéfa alebo majiteľa firmy a snaží sa prinútiť zamestnanca, aby urýchlene poslal peniaze. Často ide o medzinárodné prevody a vysoké sumy.
E-mail od podvodníka
E-mail od podvodníka znel:
Neprehliadni
Dobré ráno
Aký je dnes zostatok na našom účte? Môžeme dnes uskutočniť medzinárodný prevod?
S pozdravom,Martin Borko
Na to som reagoval:
Ahoj Martin, pozerám, že máme 22 345 €. Prosím, o akej platbe hovoríš? Nič si mi nehlásil. Ďakujem. Lucia.
Približne pol hodiny nato prišiel druhý e-mail so žiadosťou o platbu do Portugalska v hodnote 15 240,00 €.
Odpísal som, že ide o veľký obnos peňazí a musí to ísť cez môjho vymysleného kolegu „Mareka“, že mu pripravím podklady. Zároveň som požiadal o viac informácií k platbe, aby som ju vedel zadať do systému.
Tlak na okamžité konanie je hlavná zbraň
Podvodník mi odpísal späť a trval na tom, aby som platbu zrealizoval okamžite. Že Marek o nej údajne vie.
Marek si je plne vedomý platby a platbu schválil. Ihneď pokračujte v platbe a dajte mi vedieť, keď bude platba dokončená. Marek platbu schválil, poviem vám o nej viac, keď prídem do kancelárie.
Podpísal sa mojím menom, netušiac, že píše priamo mne.
Typické pre tieto útoky je vytváranie tlaku. „Ihneď pokračujte“, „Marek o tom vie“, „poviem vám viac neskôr“. Útočník nechce, aby si mal čas zavolať kolegovi a overiť si informáciu. Cieľom je, aby si konal rýchlo a bez rozmýšľania.
S podvodníkom som si ešte vymenil niekoľko e-mailov. Napísal som mu, že utekám na obed, ale nech mi zavolá alebo pošle podklady, aby sme to doriešili.
Následne útočník znova poslal e-mail s výzvou, aby som poslal peniaze, a opäť tvrdil, že Marek o tom vie. Doplnil, že ide o „investičný projekt“, čo mimochodom spomínal už predtým, a nech to zadám do systému.
Podvodníkovi som napísal:
Dobre, zadám. Prosím, prepošlite mi potom heslo na potvrdenie platby. Malo by vám prísť každú chvíľu. Lucia.
Následne som mu odoslal ďalší e-mail, že mobil som našiel v kancelárii, ale systém pýta ešte ďalšie overenie, konkrétne dátum narodenia.
Prosím, firemný mobil som nakoniec našla v kancli, prišla SMS. Pýta to však ešte kontrolnú otázku, váš dátum narodenia. Pošlete mi ho? Ďakujem.
Dátum narodenia a moja adresa ma prekvapili najviac
Myslel som si, že v tomto kroku sa podvod skončí a útočník sa už neozve. O to viac ma prekvapila správa, keď mi na telefóne blikol e-mail s mojím dátumom narodenia.
Zaujímavé na tom je, že svoj dátum narodenia nemám verejne uvedený na sociálnych sieťach. Pravdou však ale je, že sa dá dohľadať v rôznych štátnych registroch, ktoré sú online. Odkiaľ ho získal, neviem ale povedať. Brutálne na tom je, že ho jednoducho zistil.
Tam to však neskončilo. Dátum narodenia bol len prvý údaj, ktorý mi útočník poslal. V ďalšej komunikácii som si vypýtal aj moju adresu, kde bývam, s vysvetlením, že máme na účte limit a systém vyžaduje ďalšie overenie. Aj tú mi poslal.
Ak by som pokračoval, pravdepodobne by mi poslal aj telefónne číslo, IČO firmy alebo inú verejne dohľadateľnú informáciu. Útočníci dnes pracujú so skladačkou údajov, ktoré zbierajú z registrov, únikov dát a sociálnych sietí.
Tu treba ale povedať, že ak ti niekto pošle e-mail s tvojím dátumom narodenia, neznamená to automaticky, že ťa hackol. Znamená to, že tvoje údaje už niekde kolujú a útočníci ich kombinujú. Meno, funkcia, firma, dátum narodenia. Stačí pár kúskov skladačky a pôsobí to dôveryhodne.
Prečo by si takýto e-mail nikdy nemal riešiť len odpoveďou
Takýto e-mail sa nerieši odpoveďou. Rieši sa telefónom. Zavoláš človeku, ktorého sa to týka, na číslo, ktoré máš uložené. Trvá to minútu. A môže ti to ušetriť tisíce eur. Ak vo firme nemáte nastavené, že väčšiu platbu musia vidieť dvaja ľudia, je to slabé miesto. Presne na to útočníci hrajú. Na rýchlosť, autoritu a strach niekoho „spochybniť“. Tentoraz to nevyšlo. Ale stačilo, aby som sa ponáhľal alebo mal horší deň. A 15 tisíc eur je preč. Bez šance ich dostať späť.
