Модул 1 · 1.2
Фишинг, CEO измама и фактурна измама
Модул 1: Защо Вие сте мишена · Време за четене: 10 минути
Учебна цел: След този урок ще можете да разпознавате начина на действие при фишинг, CEO измама и фактурна измама (BEC) и да въведете процедура за плащания с обратно позвъняване за проверка.
Основни понятия: фишинг, целеви фишинг (spear phishing), CEO измама, фактурна измама, Business Email Compromise, принцип на четирите очи, обратно позвъняване на известен номер
Три форми на един и същ трик
И трите вида атаки в този урок разчитат на заблуда. Не се извършва хакване на компютър, а убеждаване на някого сам да направи нещо: да кликне на линк, да въведе парола, да преведе пари. Това се нарича социално инженерство. То работи, защото използва обичайни човешки реакции: искате да помогнете на шефа си, да платите навреме на доставчик, бързо да решите проблем.
| Форма | Какво иска нападателят | Типично съобщение |
|---|---|---|
| Фишинг | Данни за вход, данни за плащане или клик върху зловреден софтуер | "Пощенската Ви кутия е пълна, влезте в профила си, за да запазите съобщенията" |
| CEO измама | Спешно плащане | "В момента съм на съвещание, можете ли да преведете това още днес? Не го обсъждайте с други хора" |
| Фактурна измама | Плащане на истинска фактура по грешна сметка | "Внимание: номерът на нашата банкова сметка е променен" |
CEO измамата и фактурната измама попадат заедно под английското събирателно понятие Business Email Compromise (BEC): измама, при която служебна електронна поща се злоупотребява и измамник се представя за друго лице.
Фишинг и целеви фишинг (spear phishing)
Фишингът е съобщение, което се представя за изпратено от доверен подател, за да направите нещо, което иначе не бихте направили. Обикновено става въпрос за линк към фалшифицирана страница за вход, например на rnijnbank.example (с „rn“ вместо „m“), или прикачен файл със зловреден софтуер. Обикновеният фишинг се изпраща до голям брой хора едновременно, с обща история.
При целевия фишинг (spear phishing) съобщението е съобразено конкретно с Вас. Нападателят използва Вашето име, длъжността Ви, името на реален колега или доставчик, проект, по който работите. Тази информация той намира на Вашия уебсайт, в LinkedIn, в Търговския регистър или в по-рано изтекла пощенска кутия. Тъй като съобщението съвпада с това, което очаквате, то се забелязва много по-трудно.
Правописните грешки вече не са надежден признак. С преводачески програми и AI генератори на текст измамникът пише безупречен текст на Вашия език. В модул 3 ще научите как да разпознавате фишинг по неща, които измамникът не може да имитира: истинския домейн на линк и техническия подател на имейл.
CEO измама
При CEO измама лице, което извършва плащания, получава съобщение, което изглежда изпратено от директора или собственика. ГДБОП описва постоянните характеристики:
- Авторитет: това е заповед, не въпрос.
- Поверителност: „не обсъждайте това с други хора засега, става въпрос за придобиване.“
- Времеви натиск: трябва да стане днес, преди банката да затвори.
- Подател, който почти съвпада: например
directie@example-com.example, който на пръв поглед прилича на собствения домейн, или личен адрес „защото съм на път“.
Понякога се включва и „адвокат“ или „счетоводител“, който потвърждава нареждането; те също са част от измамниците. Така се обръщат и към сдружения, и към малки фирми: касиерът получава имейл от „председателя“.
Защо работи това? Защото в малка фирма всеки познава и се доверява на останалите. Служителят иска да помогне, а поверителността гарантира, че той няма да провери бързо с колега. Тайната е точно целта на измамника.
Фактурна измама: само IBAN е различен
Фактурната измама е по-трудна за разпознаване, защото фактурата често е истинска. Сума, номер на поръчка, лого, оформление: всичко съвпада. Само номерът на банковата сметка е променен. Според ГДБОП това се случва по различни начини: фактурата бива прихваната и променена, идва отделно писмо „номерът на нашата сметка е променен“, или самата фирма е хакната и измамникът изпраща съобщението от истинската пощенска кутия.
Последното е важно да се разбере. Ако пощенската кутия на Вашия доставчик leverancier.example е превзета, имейлът идва наистина от правилния адрес. Всички технически проверки (SPF, DKIM, DMARC от модул 4) минават успешно. Измамникът понякога е чел кореспонденцията седмици наред, знае кои фактури са отворени и изпраща съобщението си точно в подходящия момент, в същия разговор по имейл. Проверката на адреса на подателя тук не помага.
Болезнена подробност: ако сте платили на измамника, по принцип все още дължите сумата на истинския доставчик.
Пример
Пекарна Example поръчва нова пещ от leverancier.example. Офертата, потвърждението на поръчката и фактурата пристигат спретнато, една след друга. Два дни по-късно в същия имейл разговор идва следното:
Уважаема Petra, поради преминаване към друга банка номерът на нашата сметка беше променен незабавно. Бихте ли превели сумата по фактурата за пещта на новия номер? Старият номер ще бъде закрит следващата седмица. С уважение, Joost
Адресът е правилен, името на Joost е правилно, номерът на поръчката съвпада. Единственото, което издава измамата, е самата молба: промяна на номера на банковата сметка. Това винаги е момент за проверка, никога момент, в който да се разчита само на имейла.
Процедурата за плащания, която спира измамата
Не можете да разпознаете всеки фалшив имейл. Но можете да се погрижите фалшив имейл сам по себе си да не е достатъчен, за да преведете пари. Това се постига с няколко постоянни правила.
- Обратно позвъняване на известен номер. При всяка промяна на номера на банкова сметка и при всяка необичайна молба за плащане, обадете се на подателя. Не на номера в имейла или фактурата, тъй като и той може да е фалшив, а на номер, който вече сте имали: от Вашата собствена счетоводна документация, договора или официалния уебсайт, който сами въвеждате.
- Не отговаряйте на имейла. Ако искате да проверите по имейл, въведете адреса сами. С бутона „отговори“ можете да се озовете при измамника, например чрез Reply-To, който сочи към друг адрес (урок 3.3).
- Принципът на четирите очи. Плащания над определена сума, нови получатели и променени номера на банкови сметки се проверяват от двама души. При еднолична фирма това означава: постоянно време за изчакване и обратно позвъняване, преди да платите.
- Без изключения чрез имейл или чат. Директорът никога не моли по имейл или WhatsApp да пропуснете процедурата. Договорете това изрично, включително с самия директор. Така всеки знае: съобщение с „само този път извън обичайния ред“ по дефиниция е подозрително.
- Записвайте данните. Номерът на банковата сметка на доставчика се съхранява във Вашето счетоводство. Сравнявайте номера на всяка фактура с този, който вече имате. От октомври 2025 г. банките в еврозоната проверяват при банков превод дали въведеното от Вас име съответства на номера на банковата сметка (на английски Verification of Payee). Отнасяйте се сериозно към предупреждение от тази проверка. Но положителен резултат показва само, че името и сметката си съответстват, не че получателят е честен.
| Ситуация | Действие |
|---|---|
| Нов номер на банкова сметка от съществуващ доставчик | Обратно позвъняване на известен номер, одобрение от второ лице |
| Спешно плащане по молба на ръководството | Обаждане или лично уточняване, следва се обичайната процедура |
| Нов доставчик, първа фактура | Проверка на данните от официален източник, одобрение от второ лице |
| Фактура, която изглежда различно от обичайното | Уточняване преди плащане |
Ако все пак се случи
Платили сте и вече не сте сигурни, че е наред? Тогава всеки час е от значение.
- Обадете се незабавно на Вашата банка и попитайте дали плащането може да бъде спряно или възстановено.
- Подайте сигнал до ГДБОП, сектор „Киберпрестъпност“, и подайте жалба в МВР.
- Предупредете доставчика: ако пощенската му кутия е превзета, повече клиенти ще получат фалшиви съобщения.
- Ако съобщението е дошло от Вашата собствена пощенска кутия или тази на колега, тя вероятно е превзета. Сменете паролата, прекратете активните сесии и проверете правилата за препращане (урок 2.5 и 3.5).
Обобщение
- Фишингът, CEO измамата и фактурната измама са социално инженерство: Вие биват убеждавани сами да извършите нещо.
- Целевият фишинг (spear phishing) е съобразен конкретно с Вас и затова е много по-убедителен; правописните грешки вече не са добър признак.
- CEO измамата разчита на авторитет, поверителност и времеви натиск.
- При фактурната измама често само IBAN е различен, понякога изпратен дори от истинската хакната пощенска кутия на доставчика.
- Процедура за плащания с обратно позвъняване на известен номер и принципа на четирите очи спира повечето измами, дори ако не разпознаете фалшивия имейл.
Тест (quiz)
Задача
Задача A1.2: Разпознайте измамата. Получавате шест кратки съобщения. Посочете за всяко съобщение дали вероятно е фишинг, CEO измама, фактурна измама или нормално съобщение, и какво действие предприемате. Програмата проверява отговорите и показва за всяко съобщение признаците, които сте могли да забележите.
Задача D1.2: Вашата собствена процедура за плащания. Запишете процедурата за плащания на Вашата фирма на един лист A4: кога се обаждате обратно, на кой номер, кой извършва втора проверка и от каква сума нагоре. Обсъдете я с всички, които извършват плащания.
Задача D1.2: Вашата собствена процедура за плащания
Ето как да подходите: (1) Напишете на един лист какво води до допълнителна проверка на плащане: променен номер на сметка, нов получател, сума над определен от Вас праг, спешна molba извън обичайния ред. (2) Напишете как се обаждате обратно: само на номер от Вашата собствена документация, договора или официалния уебсайт, който сами въвеждате. (3) Определете втори човек, който да преглежда (при едноличен търговец: фиксиран период на изчакване, например една нощ). (4) Договорете се с ръководството, че процедурата никога не се пропуска по имейл или чат. (5) Обсъдете листа с всички, които извършват плащания, и го поставете на видно място.
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Прочетете още
Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици процесът е сходен.
- Това имейл съобщение истинско ли е от WebOké? Разпознаване на фишинг и използване на кода за промоцията
- Писма от ICANN или регистъра относно Вашия домейн: истински или фалшиви, и какво трябва да направите?
- ГДБОП, CEO измама: https://www.cybercrime.bg/
- ГДБОП, Номерът на банковата сметка във фактурата е променен: https://www.cybercrime.bg/
- ГДБОП, Прихванати фактури: https://www.cybercrime.bg/