Αλλαγή IBAN με email; Οι έλεγχοι πριν φύγει η πληρωμή

Ένα μήνυμα που μοιάζει να προέρχεται από γνωστό προμηθευτή, συνεργάτη ή ανώτερο στέλεχος ζητά να αλλάξει το IBAN λίγο πριν από μια πληρωμή. Η διεύθυνση αποστολέα φαίνεται σωστή, η υπογραφή είναι πειστική και το αίτημα παρουσιάζεται ως επείγον. Αυτό ακριβώς κάνει την απάτη αλλαγής στοιχείων πληρωμής τόσο αποτελεσματική: εκμεταλλεύεται μια πραγματική επιχειρησιακή διαδικασία και την πίεση χρόνου.

Γιατί ένα «σωστό» email δεν αρκεί

Οι επιτιθέμενοι μπορούν να παραβιάσουν πραγματικούς λογαριασμούς email ή να δημιουργήσουν διευθύνσεις που διαφέρουν από τις νόμιμες μόνο σε έναν χαρακτήρα. Συχνά έχουν ήδη μελετήσει τον τρόπο γραφής, τα ονόματα των συνεργατών και τον χρόνο μιας επερχόμενης συναλλαγής. Έτσι, το μήνυμα δεν μοιάζει απαραίτητα με μαζικό phishing· μπορεί να εντάσσεται φυσικά σε μια υπάρχουσα αλληλογραφία.

Το κρίσιμο συμπέρασμα είναι ότι η επιβεβαίωση δεν πρέπει να γίνεται μέσα στο ίδιο κανάλι που μπορεί να έχει παραβιαστεί. Η απάντηση στο email ή η κλήση σε αριθμό που αναγράφεται στο ύποπτο μήνυμα δεν αποτελούν ανεξάρτητο έλεγχο.

Ο έλεγχος των τεσσάρων βημάτων

1. Σταματήστε την πληρωμή. Καμία αλλαγή τραπεζικών στοιχείων δεν πρέπει να εκτελείται επειδή χαρακτηρίστηκε «επείγουσα». Μια μικρή καθυστέρηση είναι πολύ φθηνότερη από την ανάκτηση χρημάτων μετά τη μεταφορά.
2. Καλέστε σε γνωστό αριθμό. Χρησιμοποιήστε τον αριθμό που υπάρχει ήδη στο ERP, στη σύμβαση ή σε παλαιότερο επιβεβαιωμένο αρχείο. Μην χρησιμοποιήσετε στοιχεία επικοινωνίας που περιλαμβάνονται στο νέο αίτημα.
3. Ζητήστε δεύτερη έγκριση. Η αλλαγή δικαιούχου ή IBAN χρειάζεται επιβεβαίωση από δεύτερο εξουσιοδοτημένο πρόσωπο, ιδανικά από διαφορετικό τμήμα. Η διπλή έγκριση περιορίζει το ανθρώπινο λάθος και δυσκολεύει την κοινωνική μηχανική.
4. Ελέγξτε τα ίχνη. Συγκρίνετε ολόκληρη τη διεύθυνση email, το domain, τα στοιχεία τιμολογίου και το ιστορικό της συνομιλίας. Ασυνήθιστη γλώσσα, νέα χώρα τράπεζας, πίεση για μυστικότητα ή παράκαμψη διαδικασιών είναι σοβαρές ενδείξεις κινδύνου.

Η διαδικασία πρέπει να είναι γραπτή

Οι επιχειρήσεις χρειάζονται σαφή κανόνα: κάθε μεταβολή στοιχείων πληρωμής ενεργοποιεί υποχρεωτικά εξωκαναλική επιβεβαίωση και δεύτερη έγκριση. Ο κανόνας πρέπει να εφαρμόζεται ακόμη και όταν το αίτημα φαίνεται να προέρχεται από τη διοίκηση. Η εξαίρεση «μόνο αυτή τη φορά» είναι ακριβώς το σημείο που εκμεταλλεύεται ο δράστης.

Χρήσιμο είναι επίσης να διατηρείται ελεγχόμενος κατάλογος προμηθευτών, να περιορίζονται τα δικαιώματα αλλαγής τραπεζικών στοιχείων και να αποθηκεύεται αρχείο της επιβεβαίωσης. Η εκπαίδευση του προσωπικού πρέπει να περιλαμβάνει πραγματικά σενάρια και όχι μόνο γενικές προειδοποιήσεις για ύποπτους συνδέσμους.

Αν η μεταφορά έχει ήδη γίνει

Η ταχύτητα είναι καθοριστική. Επικοινωνήστε αμέσως με την τράπεζα ή τον πάροχο πληρωμών, ζητήστε ανάκληση ή πάγωμα της συναλλαγής και ενημερώστε τις αρμόδιες αρχές. Παράλληλα, διατηρήστε τα email, τις κεφαλίδες, τα τιμολόγια και τα αρχεία επικοινωνίας. Μην διαγράψετε τον λογαριασμό ή τη συνομιλία πριν συλλεχθούν τα στοιχεία.

Η καλύτερη άμυνα δεν είναι η ικανότητα ενός υπαλλήλου να «καταλάβει» κάθε πλαστό μήνυμα. Είναι μια διαδικασία στην οποία κανένα email, όσο πειστικό και αν είναι, δεν αρκεί από μόνο του για να αλλάξει τον προορισμό των χρημάτων.

Πηγή επαλήθευσης: FBI — Business Email Compromise.