Мошенничество со счетами, или компрометация деловой переписки (business e-mail compromise, BEC), — одна из самых дорогих киберсхем для малого бизнеса. Вредоносная программа не нужна: мошенник присылает правдоподобное письмо с «новым банковским счётом» поставщика или срочной просьбой руководителя, а перевод делает ваш же сотрудник. Ниже — как работает схема, как её распознать и что делать, если деньги уже отправлены.
Как работает схема
- Похожий домен. Письмо приходит с домена, который отличается от настоящего на одну букву (например, «rn» вместо «m») или другим окончанием (.com вместо .ee). В телефоне часто видно только имя отправителя, а не адрес.
- Взломанный ящик поставщика. Мошенник получил доступ к учётной записи вашего реального партнёра. Письмо приходит с правильного адреса, потому что действительно отправлено из его ящика. Злоумышленник неделями читает переписку и ждёт, когда подойдёт срок оплаты.
- Ответ в существующей переписке. Поддельное письмо — это ответ в вашей настоящей цепочке, со всей историей ниже. Оно выглядит надёжно, хотя адрес отправителя или «Reply-To» мог быть незаметно изменён.
- «Директор просит срочно». Письмо от имени руководителя: «Я на совещании, говорить не могу, платёж нужно сделать сегодня, никому не рассказывай». Иногда просят купить подарочные карты.
Тревожные признаки
- Сообщение о смене банковских реквизитов, особенно на счёт в другой стране или другом банке.
- Спешка, давление, просьба не звонить и никому не говорить.
- Тон, язык или подпись немного отличаются от обычных.
- Адрес отправителя или адрес для ответа при внимательном взгляде не совпадает с настоящим.
- Счёт в PDF выглядит как обычно, но реквизиты другие.
- Просьба обойти обычный порядок согласования платежей.
Правило фирмы: смену счёта подтверждаем по телефону
Самая эффективная защита — простое письменное правило, которое соблюдают все, включая руководство: любая смена банковского счёта подтверждается звонком поставщику по номеру, который у вас уже есть (договор, прежний счёт, сайт поставщика), а не по номеру из того же письма.
- Первый платёж новому получателю или на изменённый счёт утверждает второй человек (принцип «четырёх глаз»).
- Неожиданная платёжная просьба руководителя подтверждается по другому каналу: телефон, Teams или лично.
- Сотрудники знают, что за проверку их никогда не упрекнут, даже если платёж задержится.
Если деньги уже отправлены
- Немедленно позвоните в свой банк и попросите отозвать платёж или заблокировать счёт получателя. Важны часы: чем раньше банк начнёт действовать, тем выше шанс вернуть деньги.
- Подайте заявление в полицию через politsei.ee или в бюро обслуживания. Номер 112 — только для экстренных ситуаций, уже совершённое мошенничество обычно к ним не относится.
- Сохраните доказательства. Не удаляйте письма. Сохраните мошенническое письмо с заголовками, счёт и платёжное поручение.
- Проверьте почтовый ящик. Злоумышленники часто добавляют правила, которые прячут или пересылают письма. В Outlook: Параметры → Почта → Правила и Параметры → Почта → Пересылка. Администратор может просмотреть входы в Microsoft Entra admin center (Sign-in logs).
- Смените пароль и включите MFA, если есть подозрение, что взломан ваш собственный ящик. Завершите все активные сеансы учётной записи.
- Сообщите поставщику по известному вам номеру. Если его ящик взломан, поддельные письма получают и другие клиенты. Об инциденте можно сообщить и в CERT-EE (Департамент государственных информационных систем, RIA).
Профилактика
- Многофакторная аутентификация (MFA) на всех учётных записях. Большинство взломов ящиков начинается с украденного пароля.
- SPF, DKIM и DMARC для вашего домена. Они не дают отправлять письма от имени вашего домена и помогают получателям распознать подделку.
- Метка внешнего отправителя. Exchange Online умеет помечать письма извне организации (
Set-ExternalInOutlook -Enabled $true), и поддельное «письмо директора» заметить проще. - Аудит ящиков. Регулярно проверяйте, что ни у кого нет правил пересылки наружу, и держите автоматическую пересылку на внешние адреса отключённой.
- Обучение. Короткий разбор реальных примеров для бухгалтерии и руководства полезнее длинной политики безопасности.
Когда обращаться к специалисту
Если деньги ушли или вы подозреваете, что ящик взломан, обращайтесь за помощью сразу. Специалист проверит входы и правила и закроет злоумышленнику доступ. ITABIKS также поможет настроить MFA и DMARC в рамках администрирования Microsoft 365, телефон +372 53 888 229.