Falošné faktúry v mene vašej firmy: ako funguje kompromitácia firemného e-mailu

Podvod s falošnými faktúrami je formou kompromitácie firemného e-mailu (business email compromise, BEC): páchateľ pošle vášmu zákazníkovi faktúru alebo oznámenie o „zmene bankového spojenia“, ktoré vyzerá, akoby prišlo od vašej firmy. Zákazník zaplatí, peniaze odídu na účet, ktorý ovláda páchateľ, a obe strany na to prídu až po týždňoch, keď vaša skutočná faktúra stále nie je uhradená.

Centrum FBI pre sťažnosti na internetovú kriminalitu (IC3) definuje BEC ako podvod zameraný na firmy, ktoré spolupracujú s dodávateľmi alebo pravidelne posielajú bankové prevody. Páchatelia pri ňom zneužívajú e-mailové účty či iné komunikačné kanály, ktoré ovládnu sociálnym inžinierstvom alebo prienikom do počítača (IC3 2025 Internet Crime Report). Tá istá správa uvádza za rok 2025 celkom 24 768 sťažností na BEC s nahlásenými stratami 3 046 598 558 $.

Väčšina takých podvodov sa zaobíde bez akéhokoľvek technického prieniku. Stačí presvedčivá adresa odosielateľa, uveriteľný príbeh a platobný proces, ktorý slepo verí e-mailu.

Ako je podvod poskladaný

Typický útok s falošnou faktúrou má niekoľko krokov:

1. Prieskum. Páchateľ zistí, kto sú vaši zákazníci, kto posiela vaše faktúry a ako vyzerajú. Pomôžu mu weby, tlačové správy, pracovné inzeráty aj staré faktúry, ktoré niekto niekam preposlal.
2. Identita odosielateľa. Buď sfalšovaná adresa From na vašej skutočnej doméne, podobná doména ako examp1e.com či example-billing.com, alebo skutočná schránka, ktorú ovládol ukradnutým heslom.
3. Správa. Krátka, rutinná poznámka: „Upozorňujeme na naše nové bankové spojenie pre túto aj ďalšie platby.“ Často prichádza ako odpoveď v skutočnej konverzácii, aby pôsobila známo.
4. Platba. Zákazník upraví údaje dodávateľa a zaplatí. Naliehavosť („účet sa v piatok ruší“) znižuje šancu, že niekto zavolá a overí si to.

Formálne je obeťou váš zákazník, škoda však dopadne aj na vás: neuhradená faktúra, nepríjemný rozhovor a zákazník, ktorý si odteraz kladie otázku, nakoľko bezpečný je váš e-mail.

3 spôsoby, ako niekto zneužije vaše meno

Sfalšovaná adresa From na vašej vlastnej doméne. Je možná, keď vaše záznamy SPF, DKIM a DMARC chýbajú alebo sú príliš benevolentné. Politika DMARC p=none žiada príjemcov, aby poštu, ktorá overením neprešla, aj tak doručili. Ako túto dieru zavrieť, vysvetľujeme v návode SPF, DKIM a DMARC.

Podobné domény. Doména, ktorá sa od vašej líši jedným písmenom alebo slovom navyše, prejde každým overením, pretože ju páchateľ vlastní a záznamy si nastaví správne. Viac v článku podobné domény a typosquatting.

Napadnutá skutočná schránka. Ak zamestnancovi uniklo heslo a účet nemá viacfaktorové overenie, páchateľ môže čítať skutočné konverzácie, nastaviť pravidlá preposielania a posielať z pravej adresy. Túto verziu odhalíte najťažšie.

Varovné signály pre vašich zákazníkov

• Žiadosť o zmenu bankového spojenia poslaná len e-mailom.
• Nový účet v inej krajine alebo na iné meno ako vaša firma.
• Tlak na rýchlu platbu alebo na utajenie zmeny.
• Adresa odosielateľa, ktorá je takmer, ale nie celkom vaša doména.
• Adresa pre odpoveď (reply-to), ktorá sa líši od adresy From.

Rada FBI je priama: žiadosti o zmenu údajov účtu overujte cez druhý kanál a kontrolujte, či odkazy a adresy odosielateľov naozaj patria firme, za ktorú sa vydávajú (oznámenie IC3, september 2024).

Ako zistiť, nakoľko ste zraniteľní

E-mailovú stránku veci preveríte za pár minút:

dig +short TXT _dmarc.yourcompany.com
dig +short TXT yourcompany.com | grep spf1

Mali by ste vidieť politiku DMARC p=quarantine alebo p=reject a záznam SPF, ktorý končí na ~all alebo -all. Potom vyhľadajte zaregistrované domény podobné vašej: prehodené písmená, pridané pomlčky, iné koncovky ako .co alebo .net. Overte, či majú záznamy MX. Ak áno, dokážu poštu prijímať (a zvyčajne aj posielať):

dig +short MX examp1e.com

Nakoniec skontrolujte, či v schránkach nie sú pravidlá preposielania na externé adresy, a uistite sa, že každý účet používa viacfaktorové overenie.

Opatrenia, ktoré to zastavia

Na strane e-mailu:

• Nastavte DMARC na vynucovanie (p=quarantine alebo p=reject), aby príjemcovia sfalšovanú poštu z vašej domény odmietli.
• Domény, z ktorých sa nikdy neposiela pošta, uzamknite pomocou v=spf1 -all a p=reject.
• Vyžadujte viacfaktorové overenie pri každej schránke.
• Nastavte upozornenia na nové pravidlá preposielania a prihlásenia z nezvyčajných miest.

Na strane platieb:

• Písomne oznámte zákazníkom, že vaše bankové spojenie sa nikdy nezmení len e-mailom.
• Uveďte bankové spojenie na webe alebo v zákazníckom portáli, aby si ho zákazníci mohli overiť.
• Každú zmenu účtu dodávateľa interne potvrďte telefonicky na čísle, ktoré už máte v evidencii, nikdy nie na čísle z e-mailu.

Ak sa to už stalo

FBI zdôrazňuje, že rozhoduje čas. Okamžite kontaktujte banku, z ktorej platba odišla, a požiadajte o jej zastavenie a vrátenie, potom podajte sťažnosť na ic3.gov bez ohľadu na sumu (IC3 PSA I-091124-PSA). Dotknutého zákazníka informujte písomne, zmeňte heslá všetkých schránok, ktorých sa to mohlo týkať, a skontrolujte pravidlá preposielania.

Kam zapadá Datahorses

Datahorses stráži to, čo môže útočník použiť, aby sa za vás vydával: novo zaregistrované podobné domény a to, či sa z nich dá posielať pošta, vaše záznamy SPF, DKIM a DMARC a znaky falošných prihlasovacích stránok. Keď sa niečo objaví, posúdi to človek a vy dostanete konkrétne kroky, ako opisujeme v časti čo sa stane, keď niečo nájdeme. Robíme to zvonku a nepotrebujeme žiadne prístupy. Podobné riziko pri správach, ktoré sa vydávajú za vaše vedenie, rozoberáme v článku CEO podvod a vydávanie sa za vedenie.