REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Cyberataki wymierzone w dyrektorów finansowych - jak się chronić?

Michał Jarski
Dyrektor Regionalny ds. Sprzedaży w Trend Micro
Cyberataki wymierzone w dyrektorów finansowych - jak się chronić?
Cyberataki wymierzone w dyrektorów finansowych - jak się chronić?
ShutterStock

REKLAMA

REKLAMA

Obecnie pracownicy odpowiedzialni za firmowe finanse są szczególnie narażeni na działania cyberprzestępców. Dyrektorzy finansowi (CFO) czy księgowi z uprawnieniami do wykonywania przelewów wysokich kwot stają się ofiarami ataków polegających na rozsyłaniu przez internetowych oszustów fałszywych biznesowych wiadomości e-mail (ang. Business Email Compromise, BEC). Mechanizm jest prosty - opiera się na wykorzystaniu zaufania i szacunku, jakim cieszą się osoby zajmujące najwyższe stanowiska w organizacji.

Kampanie BEC bez wątpienia są jednym z największych cyberzagrożeń wymierzonych w przedsiębiorstwa, niezależnie od ich wielkości czy rodzaju prowadzonej działalności. Przeprowadzenie takich ataków nie zależy od komponentów złośliwego oprogramowania – opiera się na zwykłym oszustwie i socjotechnice, co czyni je tak trudnymi do wykrycia. Działania ukierunkowane są bezpośrednio na pracowników odpowiedzialnych za finanse oraz osoby podatne na podstępne taktyki (m.in. przedstawicieli kadry zarządzającej, pracowników działu kadr czy asystentów). Wykorzystanie tych mechanizmów powoduje, że ataki BEC mogą doprowadzić firmę do ruiny w bardzo krótkim czasie.

Autopromocja

Jak wynika z badań przeprowadzonych przez Trend Micro, tylko w latach 2013–2015 kampanie BEC spowodowały łączne straty w wysokości 3,1 mld USD i zostały odnotowane w 79 krajach świata*. Ich ofiarą padło ponad 22 000 firm. Prowadzone od kliku lat badania i analizy zagrożeń BEC pozwoliły ustalić pewne prawidłowości, które mogą pomóc przedsiębiorcom w zwalczaniu tego typu ataków i obraniu odpowiedniej strategii obrony. Okazało się, że w ciągu ostatnich dwóch lat aż 40% ataków BEC najczęściej było wymierzonych w dyrektorów finansowych, a w 31% przypadków przestępcy podszyli się pod dyrektora generalnego, aby skutecznie przeprowadzić atak. Najpopularniejsze tematy wiadomości BEC zawierały słowa „Transfer” (transfer), „Request” (prośba) i „Urgent” (pilne). Do tego rodzaju ataków dochodziło najczęściej w krajach takich jak Kanada, USA, UK, Belgia czy Australia, co oznacza, że polskie firmy współpracujące z kontrahentami z tych państw powinny zwracać szczególną uwagę na wszelkie kwestie dotyczące finansów, przelewów oraz poprawności danych widniejących w przesyłanych za pomocą poczty internetowej dokumentach. Tym bardziej, że są już znane przypadki skutecznych ataków BEC wymierzonych w firmy i organizacje publiczne w Polsce.

Polecamy: Ustawa o rachunkowości z komentarzem do zmian (książka)
Autorzy: prof. dr hab. Irena Olchowicz, dr Agnieszka Tłaczała, dr Wanda Wojas, Ewa Sobińska, Katarzyna Kędziora, Justyna Beata Zakrzewska, dr Gyöngyvér Takáts

Różnorodne metody wyłudzania pieniędzy

Oprócz popularnego ostatnio podszywania się pod przedstawicieli kadry zarządzającej, oszustwa związane z przelewami mogą być przeprowadzane na wiele innych sposobów. Nierzadko dochodzi do włamań na konto pocztowe, a następnie wykonania przelewu na rachunek oszusta. Stosując phishing lub oprogramowanie keylogger, cyberprzestępcy mogą również wykraść dane uwierzytelniania, które następnie umożliwią im wysyłanie poleceń przelewu.

Niektórzy z nich tworzą jeszcze większe pozory legalności, wykonując krótkie telefony w celu zatwierdzenia transakcji. Przykładem może być jedna z wielkich polskich firm, która w marcu bieżącego roku finalizowała przejęcie spółki z branży. Cyberprzestępcy wykorzystali tę sytuację do przeprowadzenia ataku. Spreparowany mail, którego nadawcą miał być prezes organizacji, wpłynął do skrzynki odbiorczej głównej księgowej. Ta – postępując zgodnie z instrukcją – skontaktowała się z prawnikiem przejmowanej firmy, który miał zdradzić szczegóły transakcji: wysokość pierwszej transzy oraz numer konta bankowego. Szczęśliwie, osoba odpowiedzialna za realizację przelewów zauważyła błąd w adresie prezesa, co uchroniło firmę przed stratą 2 mln USD.

Dalszy ciąg materiału pod wideo

Przedsiębiorstwa prowadzące interesy z zagranicznymi dostawcami mogą stanowić dobry cel ataków polegających na modyfikacji płatności, w tym np. jej odbiorcy. Kilka lat temu ofiarą tej metody padło warszawskie metro, a w zeszłym roku także Podlaski Zarząd Dróg Wojewódzkich. Mechanizm był podobny: do księgowości wpłynęło pismo z informacją o zmianie numeru konta bankowego podwykonawcy – w ten sposób stracono 560 tys. zł w przypadku metra oraz 3,7 mln zł w przypadku PZDW. Nikt nie czuł potrzeby weryfikacji prawdziwości dokumentów.

Zagrożenie stało się tak popularne, że 4 marca 2016 roku Związek Banków Polskich opublikował w swoim serwisie internetowym komunikat o treści: „Zagrożenie dla przedsiębiorców. Oszukańcze zlecenia wykonania wysokokwotowych poleceń przelewu”.

Polecamy: Jednolity Plik Kontrolny – praktyczny poradnik (książka)

Jak skutecznie walczyć z atakami BEC?

Aby chronić swoją firmę przed tymi cyberzagrożeniami przedsiębiorcy powinni przede wszystkim edukować pracowników na temat mechanizmów działania oszustów BEC. Minęły czasy, kiedy wiadomości e-mail rozsyłane przez cyberprzestępców można było łatwo rozpoznać po rażących błędach gramatycznych lub niewiarygodnych historiach o wygranej na loterii czy wysokich tantiemach. Ataki te nie wymagają zaawansowanych umiejętności technicznych, narzędzi czy usług powszechnie dostępnych w cyberprzestępczym podziemiu – wystarczy nieostrożność jednego pracownika, którego zarażone konto pozwoli okradać biznes oraz poszerzać skalę ataku. Jak więc skutecznie walczyć z tego rodzaju atakami? Kierownictwo firmy powinno przede wszystkim rozważyć wprowadzenie dwustopniowego procesu weryfikacji podczas rozporządzania finansami czy zasobami, obejmującego na przykład alternatywny kanał komunikacyjny czy cyfrowy podpis. Niezbędne jest także bieżące informowanie pracowników o pojawiających się mechanizmach ataku odkrytych przez specjalistów ds. bezpieczeństwa IT czy rządowe agencje.

Co więcej, wszyscy pracownicy (nie tylko managerowie IT) powinni być zaznajomieni z technikami rozsyłania fałszywych wiadomości wśród osób związanych z finansami w firmie. Powinni również dbać o higienę korzystania z cyfrowych zasobów – dzięki zachowaniu podstawowych zasad bezpiecznego i poprawnego korzystania ze skrzynki pocztowej (uważne przeglądanie wiadomości e-mail, kilkukrotne sprawdzanie danych odbiorcy przed dokonaniem opłat za fakturę czy natychmiastowe usuwanie wiadomości spam). FBI, które wystosowało specjalny komunikat poświęcony tym zagrożeniom, zaleca również używanie przycisku „przekaż” zamiast „odpowiedz”, dzięki czemu nadawca będzie miał pewność, że w polu odbiorcy został wpisany poprawny adres.

Menedżerom IT zaleca się korzystanie z rozwiązań zabezpieczających wiadomości email. Na rynku istnieje wiele narzędzi, które oferują zwiększoną ochronę przed atakiem posługującym się metodami inżynierii społecznej, pomagają wykrywać zaawansowane złośliwe oprogramowanie i inne zagrożenia.


Ze względu na podstępny charakter ataków BEC bazujących głównie na socjotechnice, nawet najlepsze procedury lub zabezpieczenia nie stanowią wystarczającej ochrony. W ostatecznym rozrachunku wszystko zależy od pracowników – to oni stanowią pierwszą i ostatnią linię obrony w zabezpieczeniu cennych zasobów cyfrowych organizacji. To głównie od ich świadomości na temat istniejących zagrożeń oraz niezbędnych form ostrożności zależy, czy firma uchroni się przed coraz zuchwalszymi działaniami cyberprzestępców.

* http://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/billion-dollar-scams-the-numbers-behind-business-email-compromise

Michał Jarski, dyrektor regionalny ds. sprzedaży, Trend Micro

Autopromocja

REKLAMA

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

Komentarze(0)

Pokaż:

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Podatek PIT - część 2
    certificate
    Jak zdobyć Certyfikat:
    • Czytaj artykuły
    • Rozwiązuj testy
    • Zdobądź certyfikat
    1/10
    Zeznanie PIT-37 za 2022 r. można złożyć w terminie do:
    30 kwietnia 2023 r. (niedziela)
    2 maja 2023 r. (wtorek)
    4 maja 2023 r. (czwartek)
    29 kwietnia 2023 r. (sobota)
    Następne
    Księgowość
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail
    Rozlicz się przez internet. Dzięki usłudze Twój e-PIT szybko i łatwo rozliczysz swój PIT

    Okres rozliczeń rocznych PIT trwa do końca kwietnia. Dzięki usłudze Twój e-PIT udostępnionej przez Ministerstwo Finansów w e-Urzędzie Skarbowym (e-US) możesz szybko i wygodnie rozliczyć swój PIT. Zwłaszcza jeśli masz Profil Zaufany. Jeśli nie masz – założysz go od ręki.

    PIT 2024. Czy można rozliczyć podatki bez Profilu Zaufanego?

    Sezon rozliczeń podatkowych jest w pełni. Dzięki usłudze e-PIT dostępnej na stronie Ministerstwa Finansów, możesz  szybko rozliczyć swój PIT. Resort zaleca, aby z rozliczeniem nie zwlekać.

    Co można sobie odliczyć od podatku 2024? Z jakich ulg podatkowych można skorzystać w rozliczeniu PIT?

    Co można odliczyć z podatku PIT? Z jakich ulg podatkowych można skorzystać w rozliczeniu w 2024 roku?

    Kto może wyjechać do sanatorium z ZUS-em w 2024 roku? Jak uzyskać skierowanie? Ile trzeba czekać?

    Nie tylko Narodowy Fundusz Zdrowia kieruje do miejscowości uzdrowiskowych, ale także Zakład Ubezpieczeń Społecznych. Z leczenia może skorzystać każdy ubezpieczony, który jest zagrożony utratą zdolności do pracy. Warunkiem jest jednak, by rehabilitacja poprawiła rokowania stanu zdrowia i przyczyniła się do powrotu do aktywności zawodowej.

    Limit pomocy de minimis dla MŚP 2024 - podwyżka od 1 maja

    Ministerstwo Finansów przygotowało projekt rozporządzenia, na podstawie którego MŚP nadal udzielana będzie pomoc de minimis w formie gwarancji BGK spłaty kredytu lub innego zobowiązania - napisał resort w OSR do projektu. Rozporządzenie wdroży w życie unijne przepisy wprowadzające nowy wyższy limit takiej pomocy dla jednego przedsiębiorstwa w ciągu 3 lat.

    Ulga sponsoringowa a koszty uzyskania przychodów z zysków kapitałowych

    Po koniec 2023 roku Wojewódzki Sąd Administracyjny w Warszawie uznał, że podmioty osiągające przychody z zysków kapitałowych również mogą odliczać koszty wspierania sportu, edukacji i kultury, na podstawie art. 18ee, niezależnie od tego czy koszty te zostaną przyporządkowane do przychodów z zysków kapitałowych czy pozostałych przychodów.

    Rozrachunki w księgowości wsparte sztuczną inteligencją. Nadchodzi nowe

    Czy sztuczna inteligencja może wspomóc księgowym w rozrachunkach? Dzięki wykorzystaniu mechanizmów sztucznej inteligencji programy księgowe pozwalają na dużą automatyzację procesów w tym zakresie.

    Jak rozpoznać pellet dobrej jakości? Jak sprawdzić samemu?

    Jakość pelletu jest kluczowym czynnikiem decydującym o jego efektywności i bezpieczeństwie użytkowania. Niezależnie od tego, czy wykorzystujemy go do ogrzewania domu, czy jako surowiec w przemyśle, istnieją cechy, na które warto zwrócić uwagę, aby mieć pewność, że wybieramy produkt najwyższej jakości.

    Składki ZUS wspólników spółki z o.o. (jednoosobowej i wieloosobowej). Kto i kiedy nie zapłaci składek?

    Ustawa o systemie ubezpieczeń społecznych oraz ustawa o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych różnicują pozycję wspólników spółki z o.o. w zakresie podlegania ubezpieczeniom społecznym i ubezpieczeniu zdrowotnemu w zależności od tego, czy spółka jest jednoosobowa czy wieloosobowa.

    Zmienia się odpowiedzialność związana z klasyfikacją towarów. Przewoźnicy mogą zapłacić mandat karny

    Znajomość prawidłowej klasyfikacji towarów to podstawa właściwego zgłoszenia celnego w procedurach celnych wywozowych i przywozowych, a także przy określaniu stawki cła i podatku VAT w sprzedaży wewnątrz UE. Wprowadzany właśnie w życie unijny Import Control System 2 nakłada na przewoźników nowe obowiązki. – Firmy transportowe biorą pełną odpowiedzialność za towar wprowadzany na obszar Unii Europejskiej. Muszą posiadać wszystkie dane na temat stron transakcji i HS kodów towarów – wyjaśnia Joanna Porath, właścicielka agencji celnej AC Porath.

    REKLAMA