Utorak, pola jedanaest pre podne. Zvoni telefon, a na ekranu piše ime banke u kojoj firma drži račun. Glas sa druge strane je smiren i profesionalan. Predstavlja se kao služba za sprečavanje prevara i kaže da sa vašeg poslovnog računa upravo pokušavaju da skinu 23.000 evra. Zna kada ste platili poslednju fakturu dobavljaču. Zna i približan iznos.

"Moramo odmah da blokiramo transakciju. Dobićete obaveštenje na telefonu - samo ga potvrdite."

Obaveštenje stiže. Izgleda potpuno ispravno, jer jeste ispravno - šalje ga prava aplikacija vaše banke. Samo što ono ne blokira prenos. Ono ga odobrava.

Ovaj scenario nije izmišljen da bi zvučao dramatično. To je danas jedan od najčešćih i najuspešnijih obrazaca napada na firme, i ne pogađa neoprezne ljude - pogađa iskusne, zauzete ljude kojima je napad isplaniran tako da u tom trenutku zvuči potpuno logično.

Iluzija na ekranu: zašto broj telefona više nije dokaz identiteta

Većina nas je odrasla uz pravilo da broj koji vidimo na ekranu govori ko nas zove. To pravilo više ne važi.

Pozivi danas uglavnom putuju preko interneta (VoIP), a sistemi koji ih prenose dozvoljavaju pošiljaocu da sam upiše koji broj će se prikazati primaocu. Ta mogućnost postoji iz legitimnih razloga - da bi firma mogla da zove sa centralnog broja, bez obzira sa kog uređaja zaposleni zove. Prevaranti je koriste na isti način, samo upisuju tuđi broj. To se zove Caller ID Spoofing.

Ako je taj broj sačuvan u vašem imeniku kao "Banka", telefon će vam prikazati baš to ime. Telefon ne proverava da li poziv zaista dolazi od banke - on samo upoređuje broj sa onim što ste sačuvali.

Isto važi i za SMS poruke: lažna poruka može da stigne u isti razgovor sa pravim porukama banke, jer se i ime pošiljaoca može lažirati.

Kako prevaranti znaju podatke o vašim uplatama

Ono što najviše uverava žrtvu nije broj na ekranu, nego detalji. Kada neko zna kome ste nedavno platili, prirodno zaključujete da gleda u vaš račun. Ali za te informacije nije potreban pristup banci.

• Kompromitovan mejl. Ako neko ima pristup jednom poslovnom mejl nalogu - vašem, knjigovođe ili dobavljača - vidi fakture, iznose i rokove plaćanja.
• Curenje podataka. Baze podataka kupaca, dobavljača i servisa redovno procure i prodaju se na internetu, često sa imenima, brojevima telefona i adresama.
• Javno dostupni podaci. Registar firmi, sajt, društvene mreže i oglasi otkrivaju ko je direktor, ko vodi finansije i sa kim firma posluje.
• Pogađanje. Firme plaćaju zakup, struju, knjigovođu i dobavljače u slično vreme svakog meseca. Uverljiv detalj ne mora da bude tačan - dovoljno je da bude verovatan.

Napadač ne mora da zna sve. Treba mu samo jedan detalj koji zvuči kao da dolazi iznutra.

Psihološka zamka: panika koja isključuje logiku

Rečenica "Upravo vam skidaju 23.000 evra" nije slučajno izabrana. Kada čovek misli da u ovom trenutku gubi veliki novac, mozak prelazi u režim hitne reakcije. Pažnja se sužava na jedan cilj - zaustaviti štetu - a pitanja poput "da li je ovo zaista banka" ostaju po strani.

Zato napadači nikada ne daju vremena. Ostajete na vezi. Ne prekidajte. Svaki minut je važan. Imaju i odgovor na svaku sumnju: "Naravno da treba da budete oprezni, upravo zato vas zovemo."

Važno je reći jasno: ovo nije pitanje naivnosti. Napad je osmišljen da funkcioniše na pametnim i iskusnim ljudima, upravo u trenucima kada su zauzeti i pod pritiskom.

Anatomija napada u pet koraka

1. Priprema. Napadač prikuplja podatke - iz kompromitovanog mejla, procurelih baza ili javnih izvora - i bira osobu u firmi koja ima pristup računu.

2. Lažni poziv. Poziv stiže sa lažiranog broja banke. Sagovornik se predstavlja kao bezbednosna služba i odmah pominje konkretan detalj kako bi stekao poverenje.

3. Veštačka hitnost. Sledi vest da je u toku neovlašćena transakcija velikog iznosa i da je treba odmah zaustaviti.

4. Trik sa "skidanjem limita" ili "blokadom". Žrtvi se objasni da, da bi se transakcija poništila, mora da se privremeno promeni limit, da se novac prebaci na "bezbedan račun" ili da se potvrdi zahtev koji će stići na telefon. U pozadini, napadač je već ušao u e-banking - često sa podacima ukradenim ranije - i pokrenuo pravi prenos.

5. Prava 2FA potvrda. Na telefon stiže push notifikacija ili SMS kod. Sve je autentično, jer dolazi od same banke. Žrtva potvrđuje, verujući da blokira prevaru. U stvarnosti, upravo je lično odobrila prenos novca.

Dvofaktorska zaštita (2FA) tu nije zakazala. Ona je uradila tačno ono što treba - tražila je potvrdu od vlasnika naloga. Napad je uspeo jer je potvrdu dao vlasnik naloga.

Pravilo koje rešava većinu slučajeva

Nijedna banka vas neće zvati i tražiti da potvrdite push notifikaciju, pročitate SMS kod, promenite limit ili prebacite novac na "bezbedan račun". Nikada, ni u jednoj situaciji.

Ako se bilo šta od toga traži tokom poziva, to je dovoljno da znate da razgovarate sa prevarantom - bez obzira na to šta piše na ekranu i koliko detalja sagovornik zna.

Takođe, prevara nije "greška" e-bankinga ili platne usluge. Sistem plaćanja radi ispravno. Napad koristi poverenje ljudi, a ne propust u tehnologiji banke.

Kontrolna lista za zaposlene i finansijsko odeljenje

• Kod svakog neočekivanog poziva "iz banke" - prekinite vezu i sami pozovite broj sa sajta banke ili sa poleđine kartice.
• Nikada ne potvrđujte push notifikaciju ili SMS kod koji niste sami pokrenuli.
• Nikada ne čitajte kodove i lozinke nikome preko telefona.
• Svaka promena limita ili prenos na "novi" račun ide samo uz proveru druge osobe u firmi.
• Promena bankovnog računa dobavljača proverava se pozivom na broj koji već imate, ne na broj iz mejla.
• Ograničite ko u firmi ima ovlašćenje za plaćanja i za koje iznose.
• Uključite dvofaktorsku zaštitu i na poslovnom mejlu, ne samo na e-bankingu.
• Pokažite ovaj tekst svima koji imaju pristup računu - prepoznavanje obrasca je najbolja zaštita.

Ako sumnjate da je napad u toku

1. Prekinite poziv. Odmah, bez objašnjavanja, bez obzira na to šta sagovornik tvrdi.

2. Proverite drugom linijom. Pozovite zvanični broj banke sa njenog sajta ili sa poleđine kartice - ne broj koji vam je neko poslao ili izdiktirao.

3. Zatražite blokadu. Ako postoji bilo kakva sumnja, tražite od banke privremeno blokiranje e-bankinga i proveru poslednjih transakcija. Što ranije reagujete, veće su šanse da se prenos zaustavi.

4. Proverite uređaje i pristupe. Skenirajte računare na zlonamerni softver, promenite lozinke za e-banking i poslovni mejl i proverite ko sve ima pristup finansijama.

5. Prijavite. Prijavite pokušaj banci i nadležnoj policijskoj službi za visokotehnološki kriminal, čak i ako novac nije odneo. Svaka prijava pomaže da se obrazac prepozna.

Bezbednost je navika, a ne program

Nijedan antivirus ne može da spreči zaposlenog da u panici potvrdi notifikaciju. Ono što to sprečava je jednostavno pravilo koje svi u firmi znaju napamet: banka nikada ne traži potvrdu preko telefona. Kada svi u timu znaju da je pravilna reakcija da se prekine veza i pozove nazad, napad gubi svoju najjaču polugu - vreme.

Ako vam treba pomoć oko sigurnosti poslovnog mejla, pristupa i naloga, pogledajte sekciju podrške.