Arvepettus ehk ärikirjade kompromiteerimine (business e-mail compromise, BEC) on üks kulukamaid küberpettusi väikeettevõtetele. Pahavara pole selleks vajagi: petis saadab usutava kirja tarnija „uue pangakontoga“ või juhi kiire maksepalvega ning ülekande teeb teie oma töötaja. Siit leiate, kuidas skeem töötab, kuidas seda ära tunda ja mida teha, kui raha on juba saadetud.
Kuidas pettus toimib
- Sarnane domeen. Kiri tuleb aadressilt, mille domeen erineb päris tarnija omast ühe tähe võrra (näiteks „rn“ tähe „m“ asemel) või on teise lõpuga (.com, mitte .ee). Telefonis näeb sageli ainult saatja nime, mitte aadressi.
- Häkitud tarnija postkast. Petis on saanud ligi teie päris partneri kasutajakontole. Kiri tuleb õigelt aadressilt, sest see saadetaksegi partneri postkastist. Ründaja loeb kirjavahetust nädalaid ja ootab hetke, kui arve on tulemas.
- Vastus olemasolevasse kirjavahetusse. Võltskiri on vastus teie päris kirjavahetusele, all on kogu varasem ajalugu. See tundub usaldusväärne, kuigi saatja aadress või „Reply-To“ võib olla vaikselt muudetud.
- „Juht palub kiiresti.“ Kiri tegevjuhi nimel: „Olen koosolekul, ei saa rääkida, see makse on vaja täna ära teha, ära räägi sellest teistele.“ Vahel palutakse osta kinkekaarte.
Ohumärgid
- Teatatakse pangakonto muutumisest, eriti kui uus konto on teises riigis või teises pangas.
- Kiirustamine, surve ja palve mitte helistada või mitte kellelegi rääkida.
- Kirja toon, keel või allkiri erineb veidi tavapärasest.
- Saatja aadress või vastamise aadress ei klapi päris tarnija omaga, kui seda lähemalt vaadata.
- Arve PDF näeb välja nagu tavaliselt, aga rekvisiidid on teised.
- Palutakse tavapärasest kinnitamise korrast mööda minna.
Firma reegel: pangakonto muutust kinnitatakse telefonitsi
Kõige tõhusam kaitse on lihtne kirjalik reegel, mida järgivad kõik, ka juhid: iga pangakonto muutus kinnitatakse helistades tarnijale numbril, mis teil on juba olemas (leping, varasem arve, tarnija koduleht), mitte numbril, mis on toodud samas kirjas.
- Uue saaja või muudetud kontoga esimene makse vajab teise inimese kinnitust (nelja silma põhimõte).
- Juhi ootamatu maksepalve kinnitatakse teise kanali kaudu: telefon, Teams või silmast silma.
- Töötajad teavad, et kontrollimise eest ei pahandata kunagi, isegi kui see makset edasi lükkab.
Kui raha on juba saadetud
- Helistage kohe oma pangale ja paluge makse tagasi kutsuda või saaja konto peatada. Tunnid on olulised: mida varem pank tegutseb, seda suurem on võimalus raha tagasi saada.
- Esitage politseile avaldus politsei.ee kaudu või lähimas teeninduses. Numbrile 112 helistage ainult hädaolukorras, juba toimunud pettus seda tavaliselt ei ole.
- Säilitage tõendid. Ärge kustutage kirju. Salvestage petukiri koos päistega, arve ja maksekorraldus.
- Kontrollige postkasti. Ründajad lisavad sageli reegleid, mis kirju peidavad või edasi saadavad. Outlookis: Sätted → Meil → Reeglid ja Sätted → Meil → Edasisaatmine. Administraator saab vaadata sisselogimisi Microsoft Entra admin centeris (Sign-in logs).
- Vahetage parool ja lülitage sisse MFA, kui on kahtlus, et teie enda postkast on rünnatud. Logige konto kõigist seanssidest välja.
- Teavitage tarnijat talle teadaoleval numbril. Kui nende postkast on häkitud, saavad petukirju ka teised kliendid. Intsidendist saab teavitada ka CERT-EE-d (Riigi Infosüsteemi Amet).
Ennetamine
- Mitmeastmeline autentimine (MFA) kõigil kasutajakontodel. Enamik postkastide ülevõtmisi algab varastatud paroolist.
- SPF, DKIM ja DMARC oma domeenile. Need ei lase kellelgi teie domeeni nimel kirju saata ja aitavad vastuvõtjatel võltsinguid ära tunda.
- Välise saatja märgis. Exchange Online oskab märkida välisest organisatsioonist tulnud kirjad (
Set-ExternalInOutlook -Enabled $true), mis teeb võltsitud „juhi kirja“ kergemini äratuntavaks. - Postkastide audit. Kontrollige regulaarselt, et kellelgi pole väliseid edasisaatmisreegleid, ja hoidke automaatne edasisaatmine välistele aadressidele keelatuna.
- Koolitus. Lühike näidetega ülevaade raamatupidajale ja juhtkonnale aitab rohkem kui pikk turvapoliitika.
Millal kutsuda abi
Kui raha on läinud või kahtlustate, et teie postkast on üle võetud, kutsuge abi kohe. Spetsialist aitab kontrollida sisselogimisi ja reegleid ning sulgeda ründaja ligipääs. ITABIKS aitab ka MFA ja DMARC seadistamisel Microsoft 365 halduse raames, telefon +372 53 888 229.