Spear phishing i przelewy firmowe - jak nie dać się oszukać?

Gdy wiadomość od „księgowości” zawiera pilną prośbę o zmianę numeru rachunku, jeden nieuważny ruch może skierować firmowy przelew do oszusta. Spear phishing to ukierunkowany atak oparty na podszywaniu się pod konkretną osobę lub instytucję, dlatego w tekście pokazuję, jak działa, po czym go rozpoznać i jak ograniczyć ryzyko utraty pieniędzy.

Na czym polega ukierunkowany phishing i dlaczego uderza w finanse

Zwykły phishing często polega na masowej wysyłce podobnych wiadomości. W odmianie ukierunkowanej przestępca najpierw zbiera informacje o ofierze, a później buduje komunikat dopasowany do jej pracy, relacji biznesowych lub sytuacji rodzinnej. Może znać stanowisko pracownika, nazwę kontrahenta, termin płatności albo bank używany przez firmę.

To właśnie personalizacja sprawia, że taki atak bywa trudniejszy do zauważenia. Wiadomość może pochodzić z przejętej skrzynki prawdziwego dostawcy, a jej treść może nawiązywać do autentycznej faktury. Wiarygodny kontekst nie oznacza jednak wiarygodnego polecenia.

Najczęstsze cele oszustów

• Dane logowania do bankowości elektronicznej, poczty lub systemu księgowego.
• Jednorazowe kody, kody autoryzacyjne i potwierdzenia w aplikacji mobilnej.
• Zmiana numeru rachunku na fakturze albo przelew na „nowe konto” kontrahenta.
• Instalacja złośliwego programu, który umożliwia podgląd ekranu lub przejęcie sesji.
• Informacje o inwestycjach, portfelu kryptowalutowym lub środkach przechowywanych na rachunku.

Komisja Nadzoru Finansowego zwraca uwagę, że sprawcy najpierw poznają cel, a dopiero potem przygotowują przekaz. Z punktu widzenia bezpieczeństwa finansowego oznacza to jedno: im więcej publicznych informacji o firmie i jej procedurach, tym łatwiej stworzyć przekonującą historię.

Jak rozpoznać wiadomość przygotowaną pod konkretną osobę

Najbardziej podejrzane komunikaty nie zawsze zawierają rażące błędy językowe. Czasem są napisane poprawnie, mają prawdziwe logo i odwołują się do realnego projektu. Ja zwracam szczególną uwagę na to, jakiej czynności oczekuje nadawca, a nie tylko na to, czy wiadomość wygląda profesjonalnie.

Niepokój powinno wzbudzić także połączenie kilku elementów naraz, na przykład znanego nazwiska, pilnego terminu i prośby o odstąpienie od standardowej procedury. Najdroższe pomyłki zwykle nie wynikają z braku wiedzy, lecz z pośpiechu.

Przykład ataku na przelew

Pracownik otrzymuje wiadomość od osoby podającej się za dyrektora finansowego. Nadawca prosi o pilny przelew na rachunek podany w załączniku, ponieważ „kontrahent zmienił bank”. Załącznik może wyglądać jak zwykłe potwierdzenie, ale zawierać złośliwy plik albo dane rachunku podstawione przez oszusta.

Właściwa reakcja jest prosta, choć wymaga dyscypliny. Pracownik powinien zadzwonić do przełożonego na numer zapisany wcześniej, a zmianę rachunku potwierdzić u kontrahenta przez niezależny kontakt. Nie korzystam w takiej sytuacji z numeru ani adresu podanego w podejrzanej wiadomości, bo oba mogą należeć do atakującego.

Jak zabezpieczyć konta, przelewy i firmowe procedury

Sama ostrożność pracowników nie wystarczy. Dobrze zaprojektowany system powinien ograniczać skutki błędu, nawet gdy ktoś kliknie link lub odpowie na wiadomość. Największą różnicę robią rozwiązania, które wymagają dodatkowego potwierdzenia przed wypłatą pieniędzy.

Minimum dla osoby prywatnej

• Włącz logowanie wieloskładnikowe wszędzie, gdzie jest dostępne, szczególnie w banku i poczcie.
• Używaj unikalnych haseł przechowywanych w menedżerze haseł.
• Ustaw limity przelewów i płatności internetowych adekwatne do codziennych potrzeb.
• Nie zatwierdzaj operacji w aplikacji bez przeczytania jej szczegółów.
• Do bankowości przechodź z własnej aplikacji, a nie z linku w wiadomości.
• Regularnie aktualizuj telefon, komputer i przeglądarkę.

Logowanie wieloskładnikowe nie jest magiczną tarczą. Jeśli oszust nakłoni użytkownika do zatwierdzenia fałszywej operacji, dodatkowy kod może tylko pomóc mu przejść przez zabezpieczenie. Dlatego trzeba czytać komunikaty autoryzacyjne, zwłaszcza kwotę, odbiorcę i rodzaj operacji.

Przeczytaj również: Jaka waluta na Słowacji? Euro, płatności i ceny - poradnik

Minimum dla firmy

• Wprowadź zasadę, że każda zmiana rachunku wymaga potwierdzenia przez drugi, niezależny kanał.
• Przy większych przelewach stosuj akceptację dwóch osób.
• Ogranicz uprawnienia do bankowości i systemu księgowego tylko do niezbędnego zakresu.
• Skonfiguruj ochronę poczty, filtrowanie załączników oraz mechanizmy SPF, DKIM i DMARC.
• Organizuj krótkie ćwiczenia z rozpoznawania podejrzanych wiadomości.
• Ustal jedną procedurę zgłaszania incydentów, bez karania pracownika za szybkie poinformowanie firmy.

SPF, DKIM i DMARC to mechanizmy pomagające serwerom ocenić, czy wiadomość rzeczywiście pochodzi z danej domeny. Nie zatrzymają każdej próby podszycia, szczególnie gdy przestępca użyje przejętego konta, ale utrudniają fałszowanie firmowego adresu i ograniczają liczbę wiadomości, które trafiają do skrzynek.

Co zrobić po kliknięciu linku lub wykonaniu przelewu

Wstyd i obawa przed konsekwencjami często opóźniają reakcję. To błąd. W przypadku oszustwa finansowego liczą się pierwsze minuty, dlatego lepiej zgłosić podejrzenie zbyt wcześnie niż czekać na całkowite potwierdzenie.

1. Natychmiast skontaktuj się z bankiem przez oficjalny numer i poproś o blokadę rachunku, karty, dostępu lub próbę zatrzymania przelewu.
2. Jeśli podano hasło, zmień je z bezpiecznego urządzenia. Zmień także hasła w usługach, w których było używane ponownie.
3. Wyloguj aktywne sesje poczty, bankowości i innych ważnych kont.
4. Jeżeli pobrano plik lub zainstalowano program, odłącz urządzenie od sieci i skontaktuj się z administratorem albo specjalistą.
5. Zachowaj wiadomość, nagłówki e-maila, numer rachunku, potwierdzenie przelewu i zrzuty ekranu.
6. Zgłoś incydent bankowi oraz odpowiednim służbom. CERT Polska wskazuje również możliwość przekazywania podejrzanych wiadomości przez oficjalne kanały zgłoszeniowe.

Jeśli doszło do nieautoryzowanej transakcji, nie czekaj na rozwój sytuacji ani nie prowadź długiej korespondencji z oszustem. Bank może potrzebować dokładnej godziny, kwoty i danych odbiorcy, a szybkie przekazanie tych informacji ułatwia dalsze działania.

Dlaczego szkolenia i procedury bywają ważniejsze niż sama technologia

Najlepszy filtr antyspamowy nie pomoże, gdy wiadomość przyjdzie z prawdziwego, wcześniej przejętego konta. Z kolei nawet prosty proces potwierdzania płatności może zatrzymać oszustwo, jeśli pracownik wie, że nie wolno omijać go pod presją przełożonego.

Szkolenie powinno opierać się na realnych scenariuszach, a nie na ogólnym haśle „uważaj na phishing”. Warto przećwiczyć zmianę rachunku dostawcy, prośbę o kod autoryzacyjny, fałszywą fakturę i kontakt z rzekomym członkiem zarządu. Ćwiczenie reakcji zmniejsza ryzyko automatycznego wykonania polecenia.

Trzeba też uważać na przesadę. Częste ostrzeżenia, które każą podejrzewać każdą wiadomość, mogą prowadzić do ignorowania alertów. Lepsza jest krótka zasada: nietypowa płatność, zmiana rachunku albo prośba o sekret zawsze wymaga niezależnego potwierdzenia.

Najdroższy błąd to zgoda na wyjątek od własnych zasad

Ukierunkowane oszustwo działa wtedy, gdy przestępca połączy wiarygodną historię z presją i skłoni odbiorcę do pominięcia procedury. Dlatego najskuteczniejsza ochrona finansów nie polega na zapamiętaniu wszystkich technicznych sztuczek, lecz na konsekwentnym sprawdzaniu odbiorcy, rachunku i zakresu operacji.

Jeżeli wiadomość dotyczy pieniędzy, dostępu lub danych uwierzytelniających, zatrzymaj się na chwilę i potwierdź ją poza kanałem, z którego przyszła. Kilka minut opóźnienia jest zwykle tańsze niż nieodwracalny przelew, a dobrze ustawione limity i akceptacja drugiej osoby mogą zamienić poważny incydent w łatwy do zatrzymania błąd.