Глава 74: Тень в почтовом ящике: махинации со счетами и взлом деловой переписки (BEC)

На протяжении многих лет профессионального сопровождения бизнеса, компаний и организаций становится очевидно, что современное поле битвы находится не только в стенах судов и даже не в жесткой деловой конкуренции на улице. Оно находится внутри папки «Входящие». В предыдущих главах мы рассматривали мошенничество, направленное непосредственно на руководство — так называемый «развод генерального директора» — или техническую подмену реквизитов поставщика. Но данная глава посвящена изощренной угрозе, сочетающей в себе тихий технологический взлом и социальную инженерию: взлом деловой переписки (Business Email Compromise — BEC) и мошенничество с поддельными счетами-фактурами.

Это мир, в котором преступник не просто притворяется кем-то другим; он становится скрытым «жильцом» внутри организации. Он читает переписку, изучает стиль письма, понимает организационную структуру и ждет подходящего момента, когда проходит значительная сумма денег, чтобы перенаправить её на свой маршрут. В этой книге, «Вы попались на удочку?», цель состоит в том, чтобы раскрыть этот механизм не только для того, чтобы предупредить, но и для того, чтобы представить юридические и практические инструменты для борьбы с инцидентом в день после того, как он был обнаружен.

Следующий сценарий является учебным примером, основанным на распространенных моделях мошенничества. Персонажи и события приведены исключительно в иллюстративных целях.

Тишина перед бурей: учебный сценарий компании «Йесодот Эйтаним»

Рина (имя изменено) работала бухгалтером в средней подрядной компании, специализирующейся на инфраструктуре. Она считалась дотошным сотрудником, знающим всех поставщиков компании лично.

В один из вторников, рано днем, Рина получила электронное письмо, которое выглядело так, будто оно пришло от главного поставщика компании. Письмо было прямым продолжением существующей цепочки переписки по текущему инфраструктурному проекту. «Привет, Рина, — говорилось в письме, — прилагаю обновленный счет-фактуру за последнюю поставку стали. Обрати внимание, что из-за внутренней бухгалтерской проверки у нас, мы временно заменили счет получателя на счет нашей дочерней компании. Прилагается официальное подтверждение из банка. Спасибо, Гилад».

Рина открыла приложенный файл. Счет-фактура выглядел абсолютно нормально: логотип поставщика, правильный адрес и точная детализация поставленного товара. Даже внутренний номер заказа компании присутствовал там. Она также увидела банковское подтверждение — документ, который выглядел как официальное свидетельство, подтверждающее реквизиты нового счета. Письмо было отправлено с адреса, который казался полностью идентичным тому, через который они переписывались в последние годы.

Она ввела реквизиты в банковскую систему Банка Апоалим. Значительная сумма денег была переведена на новый счет. Рина отправила ответное письмо, подтверждающее перевод, и почти сразу получила ответ с благодарностью за быструю обработку.

Две недели спустя, в ходе рутинного телефонного разговора с поставщиком, выяснилось, что поставщик не просил менять реквизиты счета и не получал оплату. При тщательном изучении письма, отправленного двумя неделями ранее, было обнаружено микроскопическое изменение в имени домена отправителя — изменение одного символа, которое превратило адрес в поддельный. Хакеры «сидели» на линии, читали переписку и точно знали, когда отправлять поддельный счет.

В сценариях такого типа деньги обычно снимаются через несколько минут после перевода и проходят через серию подставных счетов, что крайне затрудняет их немедленный возврат без быстрого вмешательства.

Анатомия взлома: как «сидят» в деловой почте?

Чтобы понять, как происходит такое мошенничество, важно осознать, что технологические преступные организации действуют систематически. Мошенничество типа BEC обычно делится на четыре этапа:

1. Этап сбора данных и проникновения (Infiltration)

Злоумышленники выбирают цель — обычно компанию, осуществляющую банковские переводы на крупные суммы. Первоначальное проникновение обычно осуществляется с помощью «фишинга» или через покупку скомпрометированных паролей. Как только у них появляется доступ к почтовому ящику в организации (или в организации поставщика), они могут оставаться незамеченными для сбора информации.

2. Этап изучения и наблюдения (Monitoring)

Это этап, на котором злоумышленник может установить «правила маршрутизации» во взломанном почтовом ящике. Письма, содержащие определенные ключевые слова, автоматически пересылаются злоумышленнику, который изучает контракты, графики работ и стиль общения между сторонами.

3. Создание «двойника домена» (The Doppelgänger)

Злоумышленник создает домен, который выглядит почти идентично оригиналу. Изменение одного символа или другое расширение могут не вызвать подозрений у невнимательного глаза или во время большой рабочей нагрузки. В некоторых случаях используются более продвинутые методы отправки письма якобы с настоящего адреса.

4. Момент «укуса» (The Execution)

Злоумышленник «перехватывает» цепочку переписки в момент, когда должен пройти счет-фактура. Сочетание знания деталей сделки и качественной графической подделки повышает шансы на успех мошенничества.

Юридический аспект: варианты оценки ответственности

Когда такой случай доходит до юридического разбирательства, возникает вопрос ответственности между вовлеченными сторонами: пострадавшим бизнесом, поставщиком, банком-отправителем и банком-получателем. Правовой анализ обычно фокусируется на деликатном праве, договорном праве и законе о платежных услугах.

Закон о платежных услугах, 2019 г.

Этот закон определяет распределение ответственности между клиентом и поставщиком платежных услуг, например, международными финансовыми платформами, такими как Wise, в случае «несанкционированной платежной операции». В случаях BEC иногда возникает юридическая сложность, поскольку именно клиент фактически осуществил подтверждение. Поэтому рассмотрение дела будет сосредоточено на вопросе, было ли подтверждение получено путем мошенничества в обстоятельствах, которые должны были вызвать подозрения у поставщика платежных услуг.

Ответственность поставщика платежных услуг (банка)

В некоторых случаях можно рассмотреть, нарушил ли банк свою обязанность соблюдения осторожности по отношению к клиенту. Суды могут оценить, были ли «красные флажки», которые финансовое учреждение, такое как Банк Леуми, должно было заметить, такие как необычный перевод на новый счет или явное несоответствие. Возможность возложения ответственности зависит от конкретных обстоятельств и от того, существовало ли реальное подозрение в мошенничестве, которое можно было предотвратить.

Борьба между бизнесом и поставщиком

Еще один сложный вопрос — на ком лежит ответственность за сам взлом. Если почта была взломана на стороне поставщика, может возникнуть аргумент, что он не принял достаточных мер предосторожности. С другой стороны, поставщик может заявить о халатности бизнеса, не проверившего реквизиты счета. В таких случаях суды оценивают, кто из сторон был «наименее затратным предотвратителем ущерба», и могут установить распределение ответственности на основании «вины потерпевшего».

Стратегии защиты и управления рисками

В ходе профессиональной деятельности адвоката, работающего в этой сфере, становится ясно, что предотвращение является самым эффективным инструментом. Риск мошенничества типа BEC можно снизить путем принятия четких протоколов:

Многоканальная проверка (Out-of-Band Verification)

Рекомендуется установить процедуру, согласно которой нельзя полагаться на электронную почту как на единственный источник изменения платежных реквизитов. В любом случае запроса на изменение банковского счета необходимо выполнить телефонную проверку с известным контактным лицом по официальному номеру телефона поставщика.

Двухфакторная аутентификация (MFA/2FA)

Активация двухфакторной аутентификации во всех корпоративных почтовых аккаунтах — это базовый и необходимый шаг. Бизнес, который не применяет такие виды защиты, может считаться не принявшим разумных мер предосторожности.

Обучение сотрудников

Периодические инструктажи для повышения осведомленности сотрудников финансовых отделов могут помочь в выявлении предупреждающих знаков, таких как незначительные изменения доменов или подозрительные формулировки.

Киберстрахование и договорные аспекты

Можно рассмотреть возможность приобретения страховых полисов, покрывающих киберинциденты и социальную инженерию. Кроме того, рекомендуется включить в контракты с поставщиками пункты, регулирующие порядок внесения изменений в платежные реквизиты.

Итог юридического анализа

Законодательство в Израиле адаптируется к цифровой эпохе, и требования к уровню осторожности банков и бизнеса растут. В то время как в прошлом было трудно возложить ответственность на финансовые организации, сегодня можно оценить их ответственность в соответствии с их способностью выявлять аномалии в платежных системах.

Шансы на возврат средств или получение компенсации зависят от обстоятельств дела, степени халатности сторон и скорости реакции после обнаружения мошенничества. Такие вопросы, как источник взлома, процедуры идентификации клиента в банке-получателе и соблюдение базовых протоколов безопасности, будут решающими при рассмотрении судом вопроса о распределении ответственности.

В заключение, мошенничество BEC использует доверие и стремление к эффективности в деловом мире. Иногда самый правильный шаг — остановиться, проверить и выполнить простую человеческую верификацию перед нажатием кнопки перевода.