Menü
48_www.effecthacking.com.jpg
Forrás: ITB

Egy rémálom. Arra tér vissza az üzleti útról az ügyvezető, hogy több milliót fizetett ki a cége (látszólag) az ő utasítására, semmiért. Az alacsony kockázatú csalással millió eurós nagyságrendű károkat okoztak világszerte a bűnözők.

Egyszerű, de nagy kárt okozó csalás áldozata lett a francia Etna Industrie nevű közepes méretű cég. A vállalat 50 alkalmazottat foglalkoztat és közel 75 éve ipari felszereléseket gyárt Párizs külvárosában lévő telephelyén. A célzott, email-adathalász alapú támadás annyira gyakorivá vált, hogy már neve is van: CEO-csalásnak vagy Franciaországban „fraude au president-nek” nevezik.

 

Sürgős és bizalmas

„A könyvelőmet péntek reggel felhívta valaki – mondta a BBC-nek adott interjúban a cég vezetője, Carole Gratzmuller, – és azt mondták neki, hogy a főnök, vagyis én, hamarosan küld egy emailt, amelyben utasítást ad arra vonatkozóan, hogyan bonyolítson le egy bizalmas tranzakciót. A telefonáló sürgette és titoktartásra intette a könyvelőt, mondván, senkinek sem szabad elárulni.”

A könyvelő a telefonbeszélgetés után valóban kapott egy emailt, látszólag a vezetőtől, melyben az állt, hogy az Etna Industrie megvásárolt egy ciprusi vállalkozást, és hogy a további részletek telefonon érkeznek egy ügyvédi iroda megbízott munkatársától. A második hívás sem késlekedett, abban már azt is elmondták, hogy milyen bankszámlára mennyi pénzt kell utalni.

Ezután további telefonhívások és (később kiderült: hamis) emailek érkeztek. Minden egy óra leforgása alatt, reggel kilenc és tíz óra között történt. A csalók nem engedték egy percre sem pihenni a könyvelőt, folyamatosan sürgették, hogy utalja el a pénzt. Délre a könyvelő négy, összesen 500 ezer eurónyi (több mint 150 millió forint értékű) átutalást írt alá. Szerencsére a bank csak egyet, egy 100 ezer eurós (31 millió forint) utalást teljesített, a többit visszatartotta.

A vállalat pert indított a bank ellen. Az első fokú ítélet szerint a pénzintézetnek vissza kell fizetnie a 100 ezer eurót a cégnek. A végleges ítélet után a banknak – legalábbis a rendőrség gyanúja szerint – egy francia–izraeli állampolgártól, Gilbert Chiklitől kell visszaperelnie pénzét. A csalót tavaly hét év börtönre ítélte egy francia bíróság, miután 30 banktól és vállalattól összesen 7,9 millió eurót csalt ki 2005 és 2006 között. Börtönbüntetését nem kezdte el, mert még 2009-ben Izraelbe menekült, és a két ország között nincs kiadatási egyezmény.

 

Nemcsak francia divat

A francia rendőrség szerint a csalássorozat nem állt meg, 2010 óta a francia cégek becslések szerint 465 millió eurót veszítettek hasonló csalásokban. Több mint 15 ezer céget érintett a veszteség, olyan nagyokat is, mint a Michelin, KPMG vagy Nestlé. Az USA-ban is divat a hasonló csalás, az FBI adatai szerint az elmúlt két évben közel 7 ezer céget károsítottak meg hasonló módon. A szakemberek szerint a valós adatok ennél jóval magasabbak, hiszen egyes cégek hírnevük védelmében nem jelentik az esetet a hatóságoknak.

 

Low tech és hatásos

Biztonsági szakemberek szerint a hasonló támadások azért működnek, mert az emberek hiszékenységét használják ki. A támadónak nincs szüksége különleges informatikai szaktudásra. A cégekre vonatkozó adatokat az interneten nyilvánosan elérhető információkból gereblyézik össze, esetleg elvegyülnek az ebédelő alkalmazottak között, hogy megtudják, mikor van hosszabb úton a vezető. Pár sürgető és nyomást gyakorló telefonhívás és meghamisított email, és az alkalmazottak cselekednek. Nem kérdőjelezik meg a főnök módszereit, nem kérdeznek vissza. A csalók minimálisat kockáztatnak, és nagyon sok bevételhez tudnak jutni pár óra leforgása alatt.

A fals főnök támadás és változatai

1. Valaki a cég főnökének adja ki magát, és különböző okokat találva ki arra utasítja az alkalmazottat, hogy elutaljon bizonyos összegű pénzt – a csaló bankszámlájára.

2. A csaló a bank IT-részlegének munkatársaként jelentkezik és azt mondja, hogy egy teszt utalást szeretnének kipróbálni – de az utalás valós.

3. A csalók szállítónak adják ki magukat, és arra kérik az alkalmazottat, hogy az aktuális számlát ne a múltkori, hanem egy új bankszámlára fizessen ki.

És hogyan kerüljük el mindezt? Csizmazia-Darab István, IT-biztonsági szakértő, a NOD32 antivírus termékek magyarországi képviselője tanácsa szerint ellenőrizzenek minden pénzügyi tranzakciót párhuzamosan többen is, és hagyjanak jóvá a vállalatoknál, mert az egyszemélyi döntéseknél valóban lehet ilyen csalárd forgatókönyveket alkalmazni.

Ahogy a szemétleveleknél és hamis híreknél, figyeljünk a tipikus jelekre: megijesztenek (például letiltással, veszteség kilátásba helyezésével), illetve sürgetéssel fenyegetve arra apellálnak, hogy így gondolkodás nélkül kapkodva megtesszük, amit kérnek. Ne hagyjuk magunkat sürgetni, gyanúsnak tűnő helyzetekben mindig ellenőrizzünk, egyeztessünk az állítólagos megbízóval egy másik alternatív kommunikációs csatornán is – telefonon, személyesen, Skype segítségével.

A tapasztalat azt mutatja, hogy adathalász-támadások mindig is voltak és lesznek. Bár elsősorban a bankok, pénzintézetek, fizetésközvetítők az elsődleges célpontok, bárki célkeresztbe kerülhet. A dolgozók alapos és rendszeres képzése segíthet, ennek hangsúlyos része kell, hogy legyen a social engineering (magyarul: átverés) elkerülése is, az új trükköket pedig folyamatosan meg kell ismertetni velük.

 

Nem szabad félvállról venni

Hogy itthon hasonló esetek történtek-e már, arról még nem értesültünk. (A magyar rendőrségtől kért adatok sajnos lapzártánkig nem érkeztek meg.) „Biztonság területén kevés magyar incidensről értesülünk” – folytatja Csizmazia-Darab István. Ennek az is az oka lehet, hogy teljesen általánossá vált az átutalásoknál a kettős (SMS-es kóddal ellenőrzött) azonosítás. Ha pedig az igazi főnök a mobilját is átadja a túlbuzgó beosztottnak, az védhetetlen.

A magyar viszonyokra az is jellemző, hogy a KKV-k nem mindig alkalmaznak főállású, IT-biztonságban mélyen jártas rendszergazdát, hiányosak a szabályozások, auditok, naplózások, és emellett pedig ritkák vagy hiányoznak a rendszeres dolgozói képzések is.

Pedig, ha a lehetséges kár mértékét és a megelőzésre fordítandó költségek összegét összehasonlítanák, akkor egyértelműen látszana, itt nem szabad spórolni. Számos KKV bedolgozik, beszállít egy vagy több nagyobb vállalatnak, sokszor célzottan éppen őket támadják először a gyenge védelmük miatt, így haladnak a nagyobb, értékesebb célpontok felé. Emiatt a kisebb cégeknek, vállalkozásoknak sem volna szabad félvállról venni a biztonságot – fejezte be az IT-biztonsági szakértő.

Bookmark and Share

Karrierszkenner

Kíváncsi, hol dolgozik egykori kollégája, üzleti partnere?
Szeretné, ha az ön karrierjéről is hírt adnánk?

Böngésszen és regisztráljon!

Jelenleg 1903 személy szerepel adatbázisunkban.
Az utolsó regisztrált:Kenczler Mihály

A legkeresettebb emberek:

Cégszkenner

Melyek az ict-iparág legfontosabb cégei?
Melyek a fontosabb felhasználók más iparágakból?

Regisztrálja cégét Ön is!

Jelenleg 4538 cég szerepel adatbázisunkban.
Az utolsó regisztrált:Lexmark Magyarország Kft.

A legkeresettebb cégek: