CEO krāpniecība un BEC: kā aizsargāt uzņēmuma maksājumus

Kas ir BEC

BEC (angļu val. Business Email Compromise), jeb vadītāja krāpniecība, ir uzbrukums, kurā krāpnieks uzdodas par vadītāju, grāmatvedi vai piegādātāju un ar viltus e-pastu panāk, ka uzņēmums pārskaita naudu uz krāpnieka kontu. Vārds “kompromitēšana” ir precīzs tikai daļā gadījumu: dažkārt pastkastīte tiešām ir uzlauzta, bet bieži pietiek ar līdzīgu domēnu vai atbildes adreses maiņu.

Uzbrukuma mērķis nav sistēma, bet process – tas brīdis, kad kāds cilvēks apstiprina maksājumu. Tāpēc BEC gandrīz nekad neatspoguļojas pretvīrusa vai ugunsmūra brīdinājumos.

Cik tas maksā

ASV Federālā izmeklēšanas biroja interneta noziegumu sūdzību centra (IC3) 2024. gada pārskatā BEC ir viens no dārgākajiem noziegumu veidiem: 21 442 sūdzības un 2,77 miljardi USD zaudējumu vienā gadā. Salīdzinājumam – sūdzību skaits jau trīs gadus ir gandrīz nemainīgs, bet vienas sūdzības zaudējums ir daudzkārt lielāks nekā vairumam citu krāpniecību.

Verizon 2025. gada pārskats piebilst mērogu no otras puses: mediānā no upura izvilktā summa ir nostabilizējusies ap 50 000 USD, un aptuveni 88 % BEC līdzekļu tiek pārskaitīti ar bankas pārvedumu. Tas nozīmē, ka tipisks BEC nav miljonu darījums – tā ir summa, kas parastā uzņēmumā izbrauc cauri bez papildu jautājumiem.

Četri biežākie scenāriji

Kā notiek uzbrukums

1. Izpēte. Uzbrucējs noskaidro vadību, grāmatvedību, piegādātājus un maksājumu praksi – lielākoties no publiskiem avotiem.
2. Pozīcijas ieņemšana. Tiek reģistrēts līdzīgs domēns, uzlauzta pastkastīte vai iestatīta e-pasta pārsūtīšanas kārtula.
3. Novērošana. Ja pastkastīte ir uzlauzta, uzbrucējs klusi lasa saraksti nedēļām, lai iemācītos toni un darījumu ritmu.
4. Iesaistīšanās. Sarunā tiek ievadīts jauns konta numurs vai jauns maksājums, bieži esošas sarakstes turpinājumā.
5. Spiediens. Tiek pievienota steiga un slepenība, lai apietu parasto pārbaudi.
6. Izņemšana. Nauda ātri tiek pārvietota tālāk pa vairākiem kontiem, bieži citās valstīs.

Kontroles, kas tiešām aptur

Efektīvākās kontroles ir tās, kas nepaļaujas uz to, ka cilvēks pamanīs viltojumu. Uzbrucēja stāsts var būt nevainojams – bet tas neiztur zvanu uz numuru, ko viņš nekontrolē.

• Apstiprinājums pa otru kanālu. Katram jaunam rekvizītam vai neparastam maksājumam – zvans uz iepriekš zināmu numuru, nevis uz to, kas norādīts vēstulē.
• Četru acu princips. Maksājumiem virs noteiktas summas – divi cilvēki, no kuriem viens nav iesaistīts sarakstē.
• Rekvizītu maiņa kā atsevišķs process. Bankas konta maiņa netiek apstrādāta kā parasts e-pasts, bet kā pieprasījums ar verifikāciju un pierakstu.
• E-pasta autentifikācija. SPF, DKIM un DMARC ar noraidīšanas politiku apgrūtina tava domēna viltošanu.
• Ārējo vēstuļu marķējums. Vizuāla atzīme, ka vēstule nāk no ārpuses, atklāj lielu daļu “vadītāja” lūgumu.
• Līdzīgu domēnu uzraudzība. Jauni domēni, kas atgādina tavējo, parasti tiek reģistrēti dažas dienas pirms uzbrukuma.
• Pastkastīšu kārtulu kontrole. Automātiska pārsūtīšana uz ārēju adresi ir viena no biežākajām kompromitēšanas pazīmēm.

Kad e-pastam pievienojas balss

Klasiskais BEC balstījās uz rakstītu vārdu, un vairums apmācību māca meklēt tieši rakstiskās pazīmes. Tas vairs nav pietiekami. ENISA 2025. gada draudu ainavas pārskatā norādīts, ka mākslīgais intelekts tiek izmantots balss krāpniecībā un tiešsaistes krāpniecībā ar personas atdarināšanu, tostarp izmantojot deepfake, un ka vairāk nekā 80 % pikšķerēšanas e-pastu, kas identificēti no 2024. gada septembra līdz 2025. gada februārim, kaut kādā mērā tapuši ar AI palīdzību.

Praktiskās sekas maksājumu procesam ir vienkāršas: “es dzirdēju vadītāja balsi” vairs nav apstiprinājums. Zvans, kas apstiprina e-pastā saņemtu lūgumu, ir derīgs tikai tad, ja to esi veicis tu pats uz iepriekš zināmu numuru. Sīkāk par to, ko var un ko nevar viltot, rakstām ceļvedī par deepfake krāpniecību.

Kā pārbaudīt savu procesu

Maksājumu procesa noturību var novērtēt bez tehniskiem rīkiem – ar sešiem jautājumiem grāmatvedībai. Ja kaut vienā no tiem atbilde ir “atkarīgs no situācijas”, tieši tur uzbrucējs arī iekļūs.

1. Kas notiek, ja piegādātājs e-pastā paziņo par jaunu bankas kontu – kurš un kā to pārbauda?
2. Kāda summa prasa otra cilvēka apstiprinājumu, un vai šis slieksnis attiecas arī uz valdi?
3. Vai apstiprinātājam ir pieejama sarakste, vai viņš redz tikai maksājuma uzdevumu?
4. Kā rīkojas darbinieks, kurš saņem lūgumu no vadītāja ārpus darba laika?
5. Kur tiek fiksēts, ka rekvizītu maiņa ir pārbaudīta, un kas to var pēc tam pārskatīt?
6. Kam darbinieks ziņo, ja lūgums šķiet aizdomīgs, un cik ātri viņš saņem atbildi?

Tie paši jautājumi ir arī kontrolētas pārbaudes pamats: uzdevums nav pārsteigt darbiniekus, bet noskaidrot, vai procedūra iztur spiedienu. Metode, ar kuru uzbrucējs šo spiedienu rada, aprakstīta ceļvedī par pretekstēšanu.

Ko darīt pirmajās stundās

Ja maksājums jau veikts, izšķirošais faktors ir ātrums. FBI 2024. gada dati to parāda skaitļos: IC3 līdzekļu atgūšanas komanda apstrādāja 3020 pieteikumus par kopumā 848,4 miljoniem USD, un iesaldēšana izdevās 66 % gadījumu. Šie rezultāti sasniegti tāpēc, ka par gadījumu ziņots nekavējoties, ne pēc dienām.

1. Zvani bankai un pieprasi maksājuma apturēšanu vai atsaukšanu – tas ir pirmais zvans, ne otrais.
2. Ziņo Valsts policijai; pārrobežu pārskaitījuma gadījumā tas ir priekšnoteikums saziņai ar ārvalstu banku.
3. Saglabā oriģinālos e-pastus ar pilnajām galvenēm – tie ir pierādījums un izmeklēšanas materiāls.
4. Pārbaudi skarto pastkastīti: pārsūtīšanas kārtulas, jaunas ierīces, pieteikšanās no neparastām vietām.
5. Nomaini paroles un pārtrauc aktīvās sesijas; ja iespējams, ieslēdz pret pikšķerēšanu izturīgu daudzfaktoru autentifikāciju.
6. Brīdini pārējos darbiniekus un piegādātājus – tā pati kampaņa parasti skar vairākus adresātus.

Ja uzņēmums ietilpst Nacionālās kiberdrošības likuma tvērumā un incidents atbilst nozīmīga kiberincidenta kritērijiem, jāievēro arī likuma 34. panta termiņi: agrīnais brīdinājums 24 stundu laikā un ziņojums 72 stundu laikā kompetentajai kiberincidentu novēršanas institūcijai.

Biežākās kļūdas

• Atbilde uz to pašu vēstuli. Tā apstiprina tikai to, ka otrā galā kāds atbild – ne to, ka atbild piegādātājs.
• Izņēmums vadībai. Ja četru acu princips neattiecas uz valdes locekli, uzbrucējs uzdosies par valdes locekli.
• Paļaušanās uz to, ka “mēs pamanīsim”. Sarakstes turpinājumā no uzlauztas pastkastītes pamanīt nav ko.
• Gaidīšana līdz rītam. Iesaldēšanas iespēja samazinās ar katru stundu.
• Klusēšana. Neziņots gadījums nozīmē, ka tā pati kampaņa turpinās pret kolēģiem un piegādātājiem.