Najgroźniejszy e-mail w firmowej skrzynce wcale nie musi zawierać podejrzanego linku, załącznika ani błędów językowych. Może wyglądać jak zwykła odpowiedź od dostawcy: „Od tej faktury prosimy o płatność na nowy rachunek”. Kwota się zgadza, nazwisko opiekuna handlowego również, w historii wiadomości widzisz wcześniejszą korespondencję. Tylko numer konta należy już do kogoś zupełnie innego. To jest właśnie logika Business Email Compromise, czyli BEC. Nie chodzi przede wszystkim o „wirus w mailu”. Chodzi o wejście w normalny proces biznesowy i wykorzystanie zaufania, rutyny oraz informacji, które dla pracownika wyglądają znajomo. Ja patrzę na BEC trochę inaczej niż na klasyczny phishing: tutaj przestępca nie zawsze próbuje przekonać Cię do czegoś dziwnego. Często próbuje sprawić, żeby fałszywa czynność wyglądała dokładnie tak samo jak sto prawidłowych czynności wykonanych wcześniej.
- Co to jest BEC (Business Email Compromise)?
- BEC zaczyna się wcześniej niż podejrzany e-mail
- W ataku BEC często zmienia się tylko jeden szczegół
- Jak rozpoznać BEC? Szukaj odstępstwa od procesu
- BEC a phishing, spear phishing i spoofing – gdzie jest różnica?
- Kto jest celem BEC i jak ograniczyć ryzyko?
W tym artykule chcę Ci pokazać przede wszystkim jak przestępca przygotowuje taki atak, dlaczego wiadomość potrafi wyglądać całkowicie normalnie i w którym miejscu firmowy proces zaczyna pracować na korzyść oszusta.
Co to jest BEC (Business Email Compromise)?
BEC, czyli Business Email Compromise, to oszustwo wykorzystujące firmową komunikację e-mail, relacje biznesowe i zaufanie pomiędzy pracownikami, kontrahentami lub kierownictwem. Celem najczęściej jest doprowadzenie do przelewu na rachunek kontrolowany przez przestępcę, ale atak może służyć również do wyłudzenia danych, zmiany informacji płacowych albo uzyskania dostępu potrzebnego do kolejnego etapu oszustwa.
Nazwa bywa myląca. „Compromise” sugeruje, że skrzynka została technicznie przejęta, a przecież nie zawsze tak jest. W jednym przypadku przestępca rzeczywiście uzyskuje dostęp do prawdziwego konta i czyta korespondencję. W innym rejestruje domenę różniącą się od prawdziwej jedną literą, fałszuje dane nadawcy albo korzysta z adresu, który na ekranie telefonu wygląda wystarczająco podobnie. Dla pracownika efekt może być ten sam: otrzymuje wiadomość, która pasuje do znanej relacji i nie daje oczywistego powodu do podejrzeń.
FBI zaczęło traktować BEC jako odrębne zjawisko pod koniec 2013 roku, kiedy podobne oszustwa zaczęły powtarzać się w firmach wykonujących normalne przelewy do dostawców i partnerów. Z czasem termin objął wiele wariantów – od fałszywych faktur i zmiany rachunku kontrahenta po tzw. CEO fraud. I tu od razu uporządkujmy jedną rzecz: oszustwo „na prezesa” jest odmianą BEC, ale BEC nie ogranicza się do podszywania pod prezesa.
BEC zaczyna się wcześniej niż podejrzany e-mail
To chyba najciekawsza rzecz w całym tym mechanizmie. Sam e-mail jest często dopiero końcówką pracy wykonanej wcześniej. Przejrzałem liczbe materiały dotyczące CEO fraud i możemy podzielić atak na dwa etapy: rozpoznanie i wykonanie. Zanim pojawi się prośba o przelew, ktoś może przez dni albo tygodnie sprawdzać, kto w firmie odpowiada za płatności, kto jest dyrektorem finansowym, z jakimi dostawcami współpracuje przedsiębiorstwo, kto właśnie wyjechał na konferencję i jak wygląda normalna ścieżka akceptacji faktury.
| Co interesuje przestępcę? | Do czego później wykorzystuje tę informację? |
|---|---|
| Kto zatwierdza przelewy | Wie, kogo należy zaatakować albo pod kogo się podszyć. |
| Dostawcy i klienci firmy | Potrafi przygotować wiadomość dotyczącą prawdziwej relacji handlowej. |
| Terminy płatności i obieg faktur | Wybiera moment, w którym prośba o przelew nie wygląda nietypowo. |
| Nieobecności i podróże kadry | Łatwiej uzasadnia, dlaczego sprawa jest pilna i dlaczego nie da się jej omówić osobiście. |
| Styl komunikacji, podpisy, stanowiska | Tworzy wiadomość, która przypomina normalną korespondencję firmy. |
Część tych informacji jest publiczna. Strona WWW pokazuje zarząd, LinkedIn podpowiada stanowiska i strukturę zespołu, media społecznościowe zdradzają delegacje, targi czy urlopy. Reszta może pochodzić z wcześniejszego phishingu, przejętej skrzynki albo z korespondencji zdobytej na komputerze jednego z pracowników. Jeżeli napastnik ma dostęp do prawdziwego konta pocztowego, sytuacja robi się jeszcze trudniejsza: widzi autentyczne wątki, zna kwoty, terminy, numery faktur i sposób, w jaki dwie firmy zwracają się do siebie. Nie musi już wymyślać historii. Wystarczy, że poczeka na odpowiedni moment i zmieni jeden element.
Jeśli chcesz zobaczyć, jak wygląda techniczna warstwa wiadomości i co da się odczytać poza samą nazwą nadawcy, zajrzyj też do poradnika co to jest nagłówek wiadomości e-mail oraz wyjaśnienia co oznacza pole From.
W ataku BEC często zmienia się tylko jeden szczegół
To właśnie odróżnia dobrze przygotowany BEC od wielu masowych oszustw. Nie dostajesz historii o nieznanym księciu i milionach dolarów. Dostajesz fakturę podobną do poprzedniej, wiadomość od osoby o znanym nazwisku albo prośbę pasującą do obowiązków, które wykonujesz codziennie. Fałszywy jest jeden fragment, ale to właśnie ten fragment decyduje o tym, gdzie trafią pieniądze lub dane.
| Scenariusz | Co wygląda normalnie? | Co zmienia przestępca? |
|---|---|---|
| Zmiana rachunku dostawcy | Prawdziwy kontrahent, prawidłowa faktura, zgodna kwota. | Numer rachunku do kolejnej płatności. |
| CEO fraud | Nazwisko prezesa lub dyrektora, język firmowy, sprawa wyglądająca na biznesową. | Polecenie wykonania pilnego i poufnego przelewu poza zwykłą procedurą. |
| Fałszywa faktura | Nazwa dostawcy, opis usługi, układ dokumentu. | Dane płatnicze albo sam dokument. |
| Zmiana rachunku do wynagrodzenia | Wiadomość wygląda jak zwykła prośba pracownika do HR lub kadr. | Numer konta, na który ma trafić kolejna pensja. |
| Karty podarunkowe / vouchery | Prośba od przełożonego o szybki zakup dla pracowników lub klientów. | Odbiorcą kodów do kart jest oszust. |
Mail od prezesa sam w sobie oczywiście nie jest BEC. Prezes ma prawo napisać do księgowości i zlecić płatność. Problem zaczyna się wtedy, gdy ktoś wykorzystuje jego tożsamość, konto albo autorytet, żeby wprowadzić pracownika w błąd. To samo dotyczy kontrahenta. Zmiana rachunku bankowego jest normalną sytuacją biznesową – właśnie dlatego tak dobrze nadaje się na pretekst do oszustwa.
Współczesny BEC coraz częściej przestaje być też czysto „mailowy”. Wiadomość może zostać potwierdzona telefonem, komunikatorem, a nawet głosem lub obrazem wygenerowanym przy użyciu AI. Nie traktowałbym więc telefonu od „szefa” jako automatycznego dowodu, że wcześniejszy e-mail był prawdziwy. Jeśli oba kanały zostały wskazane przez napastnika, nadal poruszasz się w przygotowanym przez niego scenariuszu.
Jak rozpoznać BEC? Szukaj odstępstwa od procesu
Przy BEC mniej interesuje mnie literówka w stopce, a bardziej to, czy ktoś próbuje właśnie zmienić normalny sposób działania firmy. Dobrze przygotowana wiadomość może pochodzić z prawdziwej skrzynki, mieć poprawną historię korespondencji i nie zawierać żadnego złośliwego linku. Antywirus nie ma wtedy czego wykrywać. Filtr pocztowy również nie zobaczy w zdaniu „prosimy o płatność na nowy rachunek” niczego, co samo w sobie jest szkodliwe.
Za to człowiek znający proces może zauważyć coś innego:
- „Od tej faktury korzystamy z nowego numeru rachunku.”
- „Jestem na spotkaniu. Zrób przelew teraz, nie dzwoń.”
- „To poufne przejęcie firmy. Nikt poza Tobą nie może o tym wiedzieć.”
- „Zmień proszę rachunek do mojego wynagrodzenia jeszcze przed dzisiejszą listą płac.”
Żadne z tych zdań nie dowodzi oszustwa. Każde jednak dotyczy zmiany, która wpływa na pieniądze, dane albo normalną procedurę. I to jest dla mnie najważniejszy sygnał w BEC: nie pytaj wyłącznie „czy ten e-mail wygląda prawdziwie?”, ale również „czy ta prośba jest zgodna z tym, jak zwykle robimy tę rzecz?”. Jeżeli firma zawsze potwierdza zmianę rachunku telefonicznie, mail nie powinien anulować tej zasady. Jeżeli przelew powyżej określonej kwoty zatwierdzają dwie osoby, „pilna wiadomość od prezesa” nie powinna tworzyć wyjątku.
Szczególną uwagę zwróć na połączenie kilku elementów: nowy rachunek, presję czasu, prośbę o poufność, nietypową kwotę, nieoczekiwaną zmianę procedury albo kontakt w momencie, gdy osoba decyzyjna jest poza biurem. Nie chodzi o to, że każdy taki przypadek jest przestępstwem. Chodzi o to, że właśnie wtedy weryfikacja drugim, wcześniej znanym kanałem kosztuje kilka minut, a potrafi oszczędzić firmie bardzo dużo pieniędzy.
BEC a phishing, spear phishing i spoofing – gdzie jest różnica?
BEC często wrzuca się do jednego worka z phishingiem, bo te zjawiska potrafią występować w tym samym ataku. Ja rozdzieliłbym je według prostego pytania: czy mówimy o celu całego oszustwa, czy o technice użytej po drodze?
| Pojęcie | Co opisuje? | Jak łączy się z BEC? |
|---|---|---|
| BEC | Scenariusz oszustwa wykorzystujący firmową komunikację i proces biznesowy. | To właściwy cel: wyłudzenie pieniędzy, danych albo zmiany w procesie. |
| Phishing | Próbę zmanipulowania odbiorcy i skłonienia go do działania. | Może służyć do zdobycia dostępu lub informacji potrzebnych do BEC. |
| Spear phishing | Ukierunkowany phishing przygotowany pod konkretną osobę lub organizację. | Świetnie nadaje się do ataku na księgowość, HR, dyrektora lub konkretnego kontrahenta. |
| Spoofing | Podszywanie się pod nadawcę lub inne źródło. | Pomaga sprawić, że fałszywa wiadomość wygląda na wysłaną przez osobę lub firmę znaną odbiorcy. |
Najprostszy przykład? Przestępca wysyła spear phishing do pracownika dostawcy i zdobywa jego hasło. Potem korzysta z prawdziwej skrzynki, obserwuje korespondencję z klientem i w odpowiednim momencie wysyła informację o zmianie rachunku. Pierwszy etap był phishingiem. Całość prowadząca do podmiany płatności jest BEC.
W innym przypadku nie trzeba przejmować żadnej skrzynki. Wystarczy podobna domena albo spoofing i dobrze przygotowana historia. Dlatego samo rozwinięcie „Business Email Compromise” nie powinno prowadzić Cię do wniosku, że BEC zawsze oznacza włamanie na firmową pocztę.
Kto jest celem BEC i jak ograniczyć ryzyko?
Naturalnie myślimy o księgowości, bo tam kończy się wiele historii z przelewem. W praktyce celem jest każda osoba, która może zmienić coś istotnego w firmowym procesie: księgowy może wykonać płatność, HR zmieni rachunek do wynagrodzenia, dział zakupów doda nowego dostawcę, asystent zarządu kupi karty podarunkowe, a administrator poczty lub pracownik biura może przekazać informację potrzebną do przygotowania kolejnego etapu ataku.
Dlatego zabezpieczenie BEC nie powinno sprowadzać się do hasła „pracownicy muszą bardziej uważać”. Jeżeli jedna osoba może zmienić rachunek kontrahenta na podstawie pojedynczego e-maila, problem leży również w procesie. Jeśli prezes potrafi ominąć procedurę jednym słowem „pilne”, procedura istnieje tylko na papierze. Najlepsza obrona powinna więc utrudniać oszustowi wykorzystanie autorytetu i pośpiechu:
- zmiany rachunków i danych płatniczych potwierdzaj niezależnym kanałem, używając znanego wcześniej numeru kontaktowego,
- dla większych lub nietypowych płatności stosuj podwójną akceptację i nie twórz wyjątków ze względu na stanowisko nadawcy,
- oddzielaj prawo do przygotowania płatności od prawa do jej zatwierdzenia,
- chroń konta pocztowe MFA i kontroluj nietypowe logowania, przekierowania oraz reguły pocztowe,
- ucz pracowników zgłaszać nietypowe prośby, szczególnie dotyczące pieniędzy, poufności i nagłych zmian w procesie.
Techniczne zabezpieczenia poczty nadal mają znaczenie – filtry, uwierzytelnienie domeny, MFA czy monitoring ograniczają część scenariuszy. Nie traktowałbym ich jednak jako zamiennika procedury. BEC potrafi wykorzystać prawdziwe konto, prawdziwą fakturę i prawdziwy kontekst. W takim przypadku ostatnią linią obrony jest często zasada mówiąca, że zmiana numeru rachunku wymaga niezależnego potwierdzenia, niezależnie od tego, kto wysłał wiadomość.
Jeżeli korzystasz z firmowej skrzynki na co dzień, dobrym uzupełnieniem będzie też poradnik jak bezpiecznie korzystać z poczty e-mail oraz tekst o poczcie firmowej. W BEC bezpieczeństwo samego konta i bezpieczeństwo procesu biznesowego spotykają się dokładnie w tym samym miejscu.
Co zrobić, jeśli przelew już został wykonany?
Tutaj nie ma sensu czekać na „pełne wyjaśnienie sprawy”. Skontaktuj się z bankiem od razu i zgłoś podejrzenie oszustwa, a równolegle poinformuj osoby odpowiedzialne za IT lub bezpieczeństwo. Nie kasuj wiadomości ani wątku – mogą zawierać informacje potrzebne do analizy. Jeżeli doszło do przejęcia konta, trzeba również zabezpieczyć dostęp, zakończyć aktywne sesje i sprawdzić, czy napastnik nie ustawił przekierowań albo reguł ukrywających część korespondencji.
Pozostając przy temacie oszustw wykorzystujących pocztę e-mail, zapraszam Cię również do przeczytania:
- Co to jest phishing e-mail i jak go rozpoznać? – jeśli chcesz uporządkować podstawowy mechanizm socjotechniki wykorzystywany w wielu atakach.
- Spear phishing – co to jest i czym różni się od phishingu? – o atakach przygotowanych pod konkretną osobę, stanowisko albo firmę.
- Spam – co to jest i czym różni się od newslettera? – jeśli chcesz zobaczyć, czym masowa niezamówiona korespondencja różni się od ukierunkowanego oszustwa.
Jeżeli miałbym zostawić Ci jedną myśl po tym artykule, byłaby taka: w BEC nie zawsze fałszywa jest cała wiadomość. Czasem fałszywy jest tylko jeden szczegół, na którym opiera się decyzja finansowa. Dlatego zamiast pytać wyłącznie „czy ten e-mail jest prawdziwy?”, lepiej zapytać również „czy ktoś właśnie próbuje zmienić sposób, w jaki normalnie robimy tę rzecz?”.