REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Cyberataki wymierzone w dyrektorów finansowych - jak się chronić?

Subskrybuj nas na Youtube
Dołącz do ekspertów Dołącz do grona ekspertów
Michał Jarski
Dyrektor Regionalny ds. Sprzedaży w Trend Micro
Cyberataki wymierzone w dyrektorów finansowych - jak się chronić?
Cyberataki wymierzone w dyrektorów finansowych - jak się chronić?
ShutterStock

REKLAMA

REKLAMA

Obecnie pracownicy odpowiedzialni za firmowe finanse są szczególnie narażeni na działania cyberprzestępców. Dyrektorzy finansowi (CFO) czy księgowi z uprawnieniami do wykonywania przelewów wysokich kwot stają się ofiarami ataków polegających na rozsyłaniu przez internetowych oszustów fałszywych biznesowych wiadomości e-mail (ang. Business Email Compromise, BEC). Mechanizm jest prosty - opiera się na wykorzystaniu zaufania i szacunku, jakim cieszą się osoby zajmujące najwyższe stanowiska w organizacji.

Kampanie BEC bez wątpienia są jednym z największych cyberzagrożeń wymierzonych w przedsiębiorstwa, niezależnie od ich wielkości czy rodzaju prowadzonej działalności. Przeprowadzenie takich ataków nie zależy od komponentów złośliwego oprogramowania – opiera się na zwykłym oszustwie i socjotechnice, co czyni je tak trudnymi do wykrycia. Działania ukierunkowane są bezpośrednio na pracowników odpowiedzialnych za finanse oraz osoby podatne na podstępne taktyki (m.in. przedstawicieli kadry zarządzającej, pracowników działu kadr czy asystentów). Wykorzystanie tych mechanizmów powoduje, że ataki BEC mogą doprowadzić firmę do ruiny w bardzo krótkim czasie.

REKLAMA

Autopromocja

Jak wynika z badań przeprowadzonych przez Trend Micro, tylko w latach 2013–2015 kampanie BEC spowodowały łączne straty w wysokości 3,1 mld USD i zostały odnotowane w 79 krajach świata*. Ich ofiarą padło ponad 22 000 firm. Prowadzone od kliku lat badania i analizy zagrożeń BEC pozwoliły ustalić pewne prawidłowości, które mogą pomóc przedsiębiorcom w zwalczaniu tego typu ataków i obraniu odpowiedniej strategii obrony. Okazało się, że w ciągu ostatnich dwóch lat aż 40% ataków BEC najczęściej było wymierzonych w dyrektorów finansowych, a w 31% przypadków przestępcy podszyli się pod dyrektora generalnego, aby skutecznie przeprowadzić atak. Najpopularniejsze tematy wiadomości BEC zawierały słowa „Transfer” (transfer), „Request” (prośba) i „Urgent” (pilne). Do tego rodzaju ataków dochodziło najczęściej w krajach takich jak Kanada, USA, UK, Belgia czy Australia, co oznacza, że polskie firmy współpracujące z kontrahentami z tych państw powinny zwracać szczególną uwagę na wszelkie kwestie dotyczące finansów, przelewów oraz poprawności danych widniejących w przesyłanych za pomocą poczty internetowej dokumentach. Tym bardziej, że są już znane przypadki skutecznych ataków BEC wymierzonych w firmy i organizacje publiczne w Polsce.

Polecamy: Ustawa o rachunkowości z komentarzem do zmian (książka)
Autorzy: prof. dr hab. Irena Olchowicz, dr Agnieszka Tłaczała, dr Wanda Wojas, Ewa Sobińska, Katarzyna Kędziora, Justyna Beata Zakrzewska, dr Gyöngyvér Takáts

Różnorodne metody wyłudzania pieniędzy

Oprócz popularnego ostatnio podszywania się pod przedstawicieli kadry zarządzającej, oszustwa związane z przelewami mogą być przeprowadzane na wiele innych sposobów. Nierzadko dochodzi do włamań na konto pocztowe, a następnie wykonania przelewu na rachunek oszusta. Stosując phishing lub oprogramowanie keylogger, cyberprzestępcy mogą również wykraść dane uwierzytelniania, które następnie umożliwią im wysyłanie poleceń przelewu.

Niektórzy z nich tworzą jeszcze większe pozory legalności, wykonując krótkie telefony w celu zatwierdzenia transakcji. Przykładem może być jedna z wielkich polskich firm, która w marcu bieżącego roku finalizowała przejęcie spółki z branży. Cyberprzestępcy wykorzystali tę sytuację do przeprowadzenia ataku. Spreparowany mail, którego nadawcą miał być prezes organizacji, wpłynął do skrzynki odbiorczej głównej księgowej. Ta – postępując zgodnie z instrukcją – skontaktowała się z prawnikiem przejmowanej firmy, który miał zdradzić szczegóły transakcji: wysokość pierwszej transzy oraz numer konta bankowego. Szczęśliwie, osoba odpowiedzialna za realizację przelewów zauważyła błąd w adresie prezesa, co uchroniło firmę przed stratą 2 mln USD.

Dalszy ciąg materiału pod wideo

Przedsiębiorstwa prowadzące interesy z zagranicznymi dostawcami mogą stanowić dobry cel ataków polegających na modyfikacji płatności, w tym np. jej odbiorcy. Kilka lat temu ofiarą tej metody padło warszawskie metro, a w zeszłym roku także Podlaski Zarząd Dróg Wojewódzkich. Mechanizm był podobny: do księgowości wpłynęło pismo z informacją o zmianie numeru konta bankowego podwykonawcy – w ten sposób stracono 560 tys. zł w przypadku metra oraz 3,7 mln zł w przypadku PZDW. Nikt nie czuł potrzeby weryfikacji prawdziwości dokumentów.

Zagrożenie stało się tak popularne, że 4 marca 2016 roku Związek Banków Polskich opublikował w swoim serwisie internetowym komunikat o treści: „Zagrożenie dla przedsiębiorców. Oszukańcze zlecenia wykonania wysokokwotowych poleceń przelewu”.

Polecamy: Jednolity Plik Kontrolny – praktyczny poradnik (książka)

Jak skutecznie walczyć z atakami BEC?

Aby chronić swoją firmę przed tymi cyberzagrożeniami przedsiębiorcy powinni przede wszystkim edukować pracowników na temat mechanizmów działania oszustów BEC. Minęły czasy, kiedy wiadomości e-mail rozsyłane przez cyberprzestępców można było łatwo rozpoznać po rażących błędach gramatycznych lub niewiarygodnych historiach o wygranej na loterii czy wysokich tantiemach. Ataki te nie wymagają zaawansowanych umiejętności technicznych, narzędzi czy usług powszechnie dostępnych w cyberprzestępczym podziemiu – wystarczy nieostrożność jednego pracownika, którego zarażone konto pozwoli okradać biznes oraz poszerzać skalę ataku. Jak więc skutecznie walczyć z tego rodzaju atakami? Kierownictwo firmy powinno przede wszystkim rozważyć wprowadzenie dwustopniowego procesu weryfikacji podczas rozporządzania finansami czy zasobami, obejmującego na przykład alternatywny kanał komunikacyjny czy cyfrowy podpis. Niezbędne jest także bieżące informowanie pracowników o pojawiających się mechanizmach ataku odkrytych przez specjalistów ds. bezpieczeństwa IT czy rządowe agencje.

Co więcej, wszyscy pracownicy (nie tylko managerowie IT) powinni być zaznajomieni z technikami rozsyłania fałszywych wiadomości wśród osób związanych z finansami w firmie. Powinni również dbać o higienę korzystania z cyfrowych zasobów – dzięki zachowaniu podstawowych zasad bezpiecznego i poprawnego korzystania ze skrzynki pocztowej (uważne przeglądanie wiadomości e-mail, kilkukrotne sprawdzanie danych odbiorcy przed dokonaniem opłat za fakturę czy natychmiastowe usuwanie wiadomości spam). FBI, które wystosowało specjalny komunikat poświęcony tym zagrożeniom, zaleca również używanie przycisku „przekaż” zamiast „odpowiedz”, dzięki czemu nadawca będzie miał pewność, że w polu odbiorcy został wpisany poprawny adres.

Menedżerom IT zaleca się korzystanie z rozwiązań zabezpieczających wiadomości email. Na rynku istnieje wiele narzędzi, które oferują zwiększoną ochronę przed atakiem posługującym się metodami inżynierii społecznej, pomagają wykrywać zaawansowane złośliwe oprogramowanie i inne zagrożenia.


Ze względu na podstępny charakter ataków BEC bazujących głównie na socjotechnice, nawet najlepsze procedury lub zabezpieczenia nie stanowią wystarczającej ochrony. W ostatecznym rozrachunku wszystko zależy od pracowników – to oni stanowią pierwszą i ostatnią linię obrony w zabezpieczeniu cennych zasobów cyfrowych organizacji. To głównie od ich świadomości na temat istniejących zagrożeń oraz niezbędnych form ostrożności zależy, czy firma uchroni się przed coraz zuchwalszymi działaniami cyberprzestępców.

* http://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/billion-dollar-scams-the-numbers-behind-business-email-compromise

Michał Jarski, dyrektor regionalny ds. sprzedaży, Trend Micro

Zapisz się na newsletter
Chcesz uniknąć błędów? Być na czasie z najnowszymi zmianami w podatkach? Zapisz się na nasz newsletter i otrzymuj rzetelne informacje prosto na swoją skrzynkę.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

REKLAMA

Księgowość
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Sprzedałeś 30 rzeczy przez internet w roku? Twoje dane trafiły do urzędu skarbowego. MF i KAS walczą z szarą strefą w handlu internetowym i unikaniem opodatkowania

Ministerstwo Finansów (MF) i Krajowa Administracja Skarbowa (KAS) wdrożyły unijną dyrektywę (DAC7), która nakłada na operatorów platform handlu internetowego obowiązki sprawozdawcze. Dyrektywa jest kolejnym elementem uszczelnienia systemów podatkowych państw członkowskich UE. Dyrektywa nie wprowadza nowych podatków. Do 31 stycznia 2025 r. operatorzy platform mieli obowiązek składać raporty do Szefa KAS za lata 2023 i 2024. 82 operatorów platform przekazało za ten okres informacje o ponad 177 tys. unikalnych osobach fizycznych oraz ponad 115 tys. unikalnych podmiotach.

2 miliony firm czeka na podpis prezydenta. Stawką jest niższa składka zdrowotna

To może być przełom dla mikroprzedsiębiorców: Rada Przedsiębiorców apeluje do Andrzeja Dudy o podpisanie ustawy, która ulży milionom firm dotkniętym Polskim Ładem. "To test, czy naprawdę zależy nam na polskich firmach" – mówią organizatorzy pikiety zaplanowanej na 6 maja.

Obowiązkowe ubezpieczenie OC księgowych nie obejmuje skutków błędów w deklaracjach podatkowych. Księgowy jest chroniony dopiero, gdy wykupi rozszerzoną polisę OC

Księgowi w biurach rachunkowych mają coraz mniej czasu na złożenie deklaracji podatkowych swoich klientów – termin składania m.in. PIT-36, PIT-37 i PIT-28 mija 30 kwietnia. Pod presją czasu księgowym zdarzają się pomyłki, np. błędne rozliczenie ulg, nieuwzględnienie wszystkich przychodów czy pomyłki w zaliczkach na podatek. W jednej z takich spraw nieprawidłowe wykazanie zaliczek w PIT-36L zakończyło się naliczonymi przez Urząd Skarbowy odsetkami w wysokości ponad 7000 zł. Obowiązkowe ubezpieczenie OC księgowych nie obejmuje błędów w deklaracjach podatkowych – ochronę zapewnia dopiero wykupienie rozszerzonej polisy.

Rewolucja płacowa w całej UE od 2026 roku. Pracodawcy będą musieli ujawniać kwoty wynagrodzenia pracownikom i kandydatom do pracy

Wynagrodzenia przestaną być tematem tabu. Od czerwca 2026 roku pracodawcy będą mieli obowiązek ujawniania informacji o płacach, zarówno kandydatom do pracy, jak i zatrudnionym pracownikom. Czy to koniec nierówności i początek nowego rozdania na rynku pracy?

REKLAMA

Firmy ignorują KSeF? Tylko 5 tys. podmiotów gotowych na rewolucję e-fakturowania

Choć obowiązek korzystania z Krajowego Systemu e-Faktur wejdzie w życie za 9 miesięcy, zaledwie 5230 firm zdecydowało się na dobrowolne wdrożenie systemu. Eksperci biją na alarm – to ostatni moment na przygotowania. Firmy nie tylko ryzykują chaos, ale też muszą zmierzyć się z brakiem środowiska testowego, napiętym harmonogramem i rosnącą liczbą innych zmian w przepisach.

Spółka komandytowa bez VAT od dywidendy – ważna interpretacja skarbówki

Dywidenda wypłacana komplementariuszowi nie podlega VAT – potwierdził to Dyrektor Krajowej Informacji Skarbowej. Oznacza to, że spółki komandytowe, w których wspólnicy prowadzą sprawy spółki bez wynagrodzenia, nie muszą obawiać się dodatkowego obciążenia podatkowego. To dobra wiadomość dla przedsiębiorców poszukujących efektywnych i bezpiecznych rozwiązań podatkowych.

Fiskus wlepi kary za niezapłacony podatek od sprzedaży ubrań i zabawek w internecie? MF analizuje informacje o 300 tys. osób i podmiotów handlujących na platformach internetowych

Operatorzy platform, za pośrednictwem których dokonywane są transakcje w internecie, przekazali MF dane ponad 177 tys. osób fizycznych i 115 tys. podmiotów – poinformowała PAP rzeczniczka szefa KAS Justyna Pasieczyńska. Dane te są teraz analizowane.

Będzie katastrofa fakturowa w 2026 roku? Kto odważy się wdrożyć obowiązek stosowania KSeF i faktur ustrukturyzowanych?

Niedawno opublikowano kolejną wersję projektu „nowelizacji nowelizacji” ustaw na temat faktur ustrukturyzowanych i KSeF, które mają być niezwłocznie uchwalone. Ich jakość woła o pomstę do nieba. Co prawda zaproponowane zmiany świadczą o tym, że twórcy przepisów chcą pozostawić tym, którzy połapią się w tych zawiłościach, jakieś możliwości unikania tej katastrofy, zachowując fakturowanie w dotychczasowej formie przynajmniej do końca 2026 r. Pytanie, tylko po co to całe zamieszanie i dezorganizacja obrotu gospodarczego – pisze prof. dr hab. Witold Modzelewski.

REKLAMA

Jak nie zbankrutować na IT: inteligentne monitorowanie i optymalizacja kosztowa środowiska informatycznego. Praktyczny przewodnik po narzędziach i strategiach monitorowania

W dzisiejszej erze cyfrowej, środowisko IT stało się krwiobiegiem każdej nowoczesnej organizacji. Od prostych sieci biurowych po rozbudowane infrastruktury chmurowe, złożoność systemów informatycznych stale rośnie. Zarządzanie tak rozległym i dynamicznym ekosystemem to nie lada wyzwanie, wymagające nie tylko dogłębnej wiedzy technicznej, ale przede wszystkim strategicznego podejścia i dostępu do odpowiednich narzędzi. Wyobraźcie sobie ciągłą potrzebę monitorowania wydajności kluczowych aplikacji, dbałości o bezpieczeństwo wrażliwych danych, sprawnego rozwiązywania problemów zgłaszanych przez użytkowników, a jednocześnie planowania przyszłych inwestycji i optymalizacji kosztów. To tylko wierzchołek góry lodowej codziennych obowiązków zespołów IT i kadry managerskiej. W obliczu tej złożoności, poleganie wyłącznie na intuicji czy reaktywnym podejściu do problemów staje się niewystarczające. Kluczem do sukcesu jest proaktywne zarządzanie, oparte na solidnych danych i inteligentnych systemach, które nie tylko informują o bieżącym stanie, ale również pomagają przewidywać przyszłe wyzwania i podejmować mądre decyzje.

Wojna celna USA - Chiny. Jak może się bronić Państwo Środka: 2 scenariusze. Świat (też Stany Zjednoczone) nie może się obejść bez chińskiej produkcji

Chiny mogą przekierować towary nadal objęte nowymi, wysokimi cłami USA przez gospodarki i porty azjatyckie lub (a raczej równolegle) przekierować sprzedaż dotychczas kierowaną do USA na inne rynki - prognozują eksperci Allianz Trade. Bardziej prawdopodobna jest przewaga drugiego scenariusza – tak było podczas pierwszej wojny handlowej prezydenta Trumpa, co obecnie oznaczać będzie m.in. 6% rokroczny wzrost importu z Chin do UE (ale też do innych krajów) w ciągu trzech najbliższych lat. Branża, która nie korzysta z żadnych wyłączeń w wojnie celnej – odzież i tekstylia może odczuć ją w największym stopniu na swoich marżach.

REKLAMA