Глава 72: Изменение банковского счета поставщика: фальшивое электронное письмо, вводящее в заблуждение бухгалтерию

Добро пожаловать в 11-ю часть книги. Если до сих пор мы в основном имели дело с частными лицами — пенсионером, у которого украли сбережения, молодым человеком, попавшимся на фиктивные инвестиции в криптовалюту, или теми, чей банковский счет был взломан, — то здесь мы переходим на новый уровень. Мы входим в мир, где суммы измеряются не тысячами, а сотнями тысяч и миллионами. Это деловой мир, где эффективность является высшей ценностью, скорость — необходимостью, а доверие между деловыми партнерами — клеем, удерживающим всю систему. Именно в трещины этого доверия проникают самые изощренные мошенники.

Мошенничество в отношении бизнеса — это особый вид цифровой преступности. Оно требует терпения, глубокого сбора разведданных (Intelligence gathering) и часто глубокого понимания организационных рабочих процессов. В этой главе мы откроем раздел, посвященный бизнесу, и сосредоточимся на одном из самых распространенных и болезненных видов мошенничества: мошенничестве с «изменением счета поставщика». Это история о маленьком, на первый взгляд безобидном электронном письме, которому удается обойти брандмауэры, дорогостоящие системы безопасности и строгие процедуры, лишь для того, чтобы нанести сокрушительный удар по денежному потоку компании.

Следующий сценарий является учебным примером, основанным на распространенных паттернах мошенничества. Персонажи и события приведены исключительно в иллюстративных целях.

Тишина перед бурей: история компании «Галь-Ор Логистика»

Майя сидела в своем кондиционированном офисе на 14-м этаже престижного офисного здания в Рамат-Гане. Как бухгалтер «Галь-Ор Логистика», компании, импортирующей электронные компоненты из Китая и Германии, она привыкла к стрессу. Конец месяца приближался, и стопка счетов на ее столе росла. Майя — опытный и дотошный профессионал, который не идет на компромиссы. Она годами знает поставщиков компании, знает, кто придерживается условий оплаты «текущий месяц плюс 60», а кто начинает звонить уже через две недели.

В тот вторник утром в ее почтовый ящик пришло письмо от «Ханса», финансового директора «Nordic Steel» — давнего немецкого поставщика «Галь-Ор». «Дорогая Майя, — говорилось в письме на безупречном деловом английском, — мы проходим процесс внутреннего аудита и структурных изменений. В связи с этим, с сегодняшнего дня все платежи в пользу Nordic Steel должны направляться на наш новый банковский счет в Польше вместо старого счета во Франкфурте. Прилагаем официальный документ, подписанный советом директоров, с реквизитами нового IBAN. Пожалуйста, подтвердите получение письма и обновите данные в вашей системе, чтобы избежать задержек с предстоящим платежом в размере 280 000 евро».

Майя взглянула на часы. Через десять минут должно было начаться совещание руководства. Она открыла вложение. Логотип компании был на месте, бумага выглядела официально, подпись Ханса выглядела точно так же, как в предыдущих документах. Она даже заметила, что адрес электронной почты выглядит вполне корректно: hans.schmidt@nordic-steel.de. Все казалось логичным. Многие европейские компании открывают счета в таких странах, как Польша или Литва, чтобы снизить операционные расходы. Она ответила коротким письмом: «Получено, спасибо, Ханс. Обновлю систему и произведу перевод в четверг».

В четверг, как и обещала, Майя совершила перевод. 280 000 евро (более миллиона шекелей) ушли со счета компании в крупном израильском банке по направлению в Варшаву. Она почувствовала удовлетворение — еще одна задача выполнена, поставщик будет доволен, и товар продолжит поступать. Она не знала, что в этот самый момент она открыла дверь для величайшего ограбления в истории компании.

Ошеломляющее открытие и разверзшаяся бездна

Прошло три недели. Майя почти забыла об этом деле, пока не зазвонил телефон на ее столе. На дисплее высветилось имя Ханса из Германии. «Привет, Майя, — его голос звучал обеспокоенно, — мы ждем оплаты за последнюю поставку. Она уже на две недели просрочена. Есть какие-то проблемы с движением денежных средств?»

Холодный пот прошиб Майю. «Ханс, о чем ты говоришь? Я перевела деньги на ваш новый счет в Польше, как ты просил в письме».

На другом конце линии повисла долгая пауза. «Польша? У нас нет никакого счета в Польше, Майя. И я никогда не присылал тебе такое письмо. Наш счет был и остается во Франкфурте».

В этот момент кондиционированный офис Майи словно начал рушиться. Она побежала к компьютеру, открыла то самое письмо. Она снова посмотрела на адрес отправителя. На этот раз, с воображаемым увеличительным стеклом тревоги, она увидела это. Адрес был не @nordic-steel.de. Он был @nordic-stee1.de. Маленькая буква «l» была заменена на цифру «1». Разница в один пиксель. Разница в миллион шекелей.

Это тот момент, когда деловая драма превращается в юридическую и человеческую. Был вызван генеральный директор, привлечены адвокаты, и банк попросили остановить перевод — но при таких обстоятельствах, в подобных сценариях, зачастую выясняется, что деньги уже сняты со счета и распределены по нескольким фиктивным счетам по всему миру.

Анализ тактики: как работает мошенничество «Business Email Compromise» (BEC)?

Мошенничество с изменением счета поставщика является подтипом того, что в сфере информационной безопасности называется BEC. В отличие от массовых фишинговых рассылок, когда мошенник отправляет огромное количество писем в надежде, что кто-то нажмет, здесь речь идет о «Spear Phishing» — охоте с копьем. Мошенники тщательно выбирают свою цель.

На первом этапе мошенники собирают разведданные. Они следят за социальными сетями сотрудников компании, узнают, кто занимается финансами и кто является основными поставщиками. Иногда они проникают в почтовый ящик одной из сторон за месяцы до атаки, просто чтобы «подслушивать» переписку. Они изучают стиль письма генерального директора, рабочие часы бухгалтера и фиксированные сроки платежей.

На втором этапе они создают «триггер». Они ждут момента, когда должен быть произведен крупный платеж. Затем они отправляют поддельное письмо. Они используют технику «тайпсквоттинга» (регистрация домена, очень похожего на оригинал) или «Email Spoofing» (подделка заголовка письма так, чтобы он выглядел идентичным оригиналу). Приложенные документы часто являются шедеврами графики, включающими отсканированные подписи, взятые из предыдущих писем.

Это мошенничество удается, потому что оно использует два фактора: иерархию и процедуру. Сотрудники среднего звена иногда боятся ставить под сомнение указания, поступающие «сверху» или от стратегических поставщиков. Кроме того, в цифровом мире существует склонность доверять тому, что отображается на экране, как абсолютной истине.

Юридический аспект: кто может нести ответственность за ущерб?

Когда деньги исчезают, возникают сложные юридические вопросы относительно ответственности сторон: компании, банка и поставщика. Юридическая борьба в таких случаях требует глубокого анализа обязательств по соблюдению осторожности и контрактов между сторонами.

1. Ответственность банка: анализ юридических возможностей

В правовой системе происходят изменения в отношении роли банка. Помимо того, что он является «каналом» для перевода денег, в определенных случаях можно рассмотреть, возложена ли на банк повышенная обязанность по соблюдению осторожности.

В рамках общего юридического анализа необходимо проверить, мог ли банк распознать «красные флаги». Например, перевод необычно крупной суммы по новому направлению может вызвать вопрос, должен ли был банк верифицировать перевод. Также можно проверить, существует ли соответствие между именем получателя в системе и фактическим владельцем счета. При определенных обстоятельствах ответственность банка может быть рассмотрена, если будет доказано, что он не действовал в соответствии со стандартами управления рисками в цифровую эпоху.

2. Клиент и вопрос «вкладной вины»

С другой стороны, может возникнуть аргумент об ответственности самой компании. Если компания не применяла базовые рабочие процедуры — такие как телефонная верификация изменения банковских реквизитов — на нее может быть возложена существенная «вкладная вина». Юридическая проверка сосредоточится на вопросе, предпринял ли бизнес разумные меры для защиты своих средств в данных обстоятельствах.

3. Отношения с поставщиком: распределение рисков

С юридической точки зрения, как правило, обязанность заплатить поставщику остается в силе, если только не будет доказано, что сбой произошел в системах самого поставщика. В случаях, когда доказана халатность поставщика в обеспечении информационной безопасности, распределение юридических рисков между сторонами может измениться. Речь идет о сложных договорных и коммерческих вопросах, зависящих от конкретных обстоятельств каждого дела.

Психология мошенничества: почему сотрудники могут не заподозрить подвох?

Во многих случаях профессионального сопровождения компаний, ставших жертвами такого мошенничества, возникает вопрос, как произошла ошибка. Ответ зачастую кроется в области социальной инженерии (Social Engineering).

Мошенники используют техники авторитета, срочности и последовательности. Сотрудники, находящиеся под давлением текущей работы, могут не заметить минимальных изменений в деталях электронной почты. Это естественный когнитивный сбой, который мошенники хорошо используют.

Более того, во многих организациях существует культура быстрой реализации задач. Сотрудник может опасаться, что задержка платежа для дополнительной проверки будет воспринята как удар по организационной эффективности. Мошенники используют желание сотрудника выполнять свои обязанности как можно лучше.

Красные флаги для финансовых менеджеров

• Внезапное изменение банковских реквизитов: значимый сигнал тревоги, требующий тщательной проверки.
• Другая страна: просьба о переводе средств в страну, которая не является страной происхождения поставщика, должна вызывать подозрения.
• Язык и стиль: небольшие изменения в стиле письма или профессиональных терминах.
• Нетипичная срочность: постоянное давление для немедленного совершения перевода.
• Просьба о конфиденциальности: обращения, призывающие скрыть факт перевода от других лиц в организации.

Как построить организационный «защитный барьер»?

Предотвращение таких мошенничеств во многом основано на внедрении четких процедур в организации:

1. Двухканальная верификация (Out-of-Band Verification)

Рекомендуется установить правило, согласно которому изменение реквизитов банковского счета не подтверждается только по электронной почте. Необходимо выполнить голосовую верификацию с известным и постоянным контактным лицом у поставщика, используя проверенные контактные данные, которые не взяты из нового письма.

2. Разделение полномочий

Установление процесса, при котором одна сторона обновляет данные, а другая утверждает платеж, может значительно снизить риск ошибок или мошенничества.

3. Проверка «имени получателя» в банке

Можно попросить банк выполнить проверку соответствия между именем получателя и номером счета при совершении международных переводов, если системы позволяют это сделать.

4. Обучение сотрудников

Повышение осведомленности сотрудников о существовании мошенничеств такого рода является ключевым инструментом предотвращения.

Рекомендуемые действия при обнаружении подозрения на мошенничество

В случае подозрения на мошенничество скорость реакции может иметь большое значение:

1. Попытка остановки платежа: немедленный контакт с банком для рассмотрения возможности отмены перевода (Recall).
2. Обращение в банк-получатель: быстрое обращение в банк за границей иногда может помочь заморозить средства до их снятия.
3. Отчет властям: подача официальной жалобы в полицию и соответствующие киберподразделения.
4. Документирование: сохранение всех цифровых доказательств, включая электронные письма и документы.
5. Юридическая консультация: рассмотрение юридических вариантов с различными сторонами, вовлеченными в цепочку.

Заключение и юридический взгляд

Мошенничество с изменением счета поставщика иллюстрирует, как пробелы в рабочих процедурах могут привести к тяжелым экономическим убыткам. За годы профессиональной работы видно, как компании могут попасть в юридическую воронку вследствие сбоев в безопасности, пусть даже самых малых.

С юридической точки зрения, обязанность по соблюдению осторожности, ожидаемая как от финансовых организаций, так и от бизнеса, постоянно пересматривается. Можно оценить, что в случае разбирательства будет проверена степень соблюдения бизнесом надлежащих рабочих процедур и соответствующего корпоративного управления в области защиты информации.

В следующих главах мы продолжим рассматривать другие паттерны мошенничества против бизнеса. Цель состоит в том, чтобы повысить бдительность и профессиональные знания, которые являются центральным элементом защиты организации в цифровом мире.

Что можно сделать в ближайшей перспективе?

1. Установление процедуры верификации: определение обязанности телефонной верификации для любого изменения в реквизитах счета поставщика.

2. Обучение команд: инструктаж по выявлению признаков тревоги в адресах электронной почты и содержании сообщений.

3. Проверка страховки: изучение страхового покрытия в случае мошенничества с использованием социальной инженерии.

4. Координация с банком: изучение дополнительных механизмов утверждения для необычных переводов.

Юридический аспект

В рамках юридической оценки таких случаев может рассматриваться вопрос «баланса халатности» между сторонами. Юридический результат зависит от многих обстоятельств, включая порядок действий банка и меры, предпринятые клиентом. Иногда может быть установлено распределение ответственности между сторонами (вкладная вина), поэтому принятие превентивных мер является наиболее эффективным способом снижения подверженности ущербу.