CEO krāpniecība un BEC: kā aizsargāt uzņēmuma maksājumus

Kas ir BEC

BEC (angļu val. Business Email Compromise), jeb vadītāja krāpniecība, ir uzbrukums, kurā krāpnieks uzdodas par vadītāju, grāmatvedi vai piegādātāju un ar viltus e-pastu panāk, ka uzņēmums pārskaita naudu uz krāpnieka kontu. Vārds “kompromitēšana” ir precīzs tikai daļā gadījumu: dažkārt pastkastīte tiešām ir uzlauzta, bet bieži pietiek ar līdzīgu domēnu vai atbildes adreses maiņu.

Uzbrucējs cenšas ietekmēt brīdi, kad cilvēks apstiprina maksājumu. Pretvīrusu programma viena pati to nenovērš. Pastkastītes aizsardzība, aizdomīgu sesiju atklāšana un maksājumu kontroles papildina cita citu.

Cik tas maksā

ASV Federālā izmeklēšanas biroja interneta noziegumu sūdzību centra (IC3) 2024. gada pārskatā BEC ir viens no dārgākajiem noziegumu veidiem: 21 442 sūdzības un 2,77 miljardi USD zaudējumu vienā gadā. Salīdzinājumam – sūdzību skaits jau trīs gadus ir gandrīz nemainīgs, bet vienas sūdzības zaudējums ir daudzkārt lielāks nekā vairumam citu krāpniecību.

Verizon 2025. gada pārskatā analizētajos BEC gadījumos zaudējumu mediāna ir aptuveni 50 000 USD, bet ap 88 % līdzekļu pārskaitīti ar bankas pārvedumu. Tā ir konkrētā datu kopuma statistika, nevis Latvijas uzņēmuma sagaidāmo zaudējumu prognoze.

Četri biežākie scenāriji

BEC scenāriji un maksājumu pārbaudes

Scenārijs	Kā izskatās	Pārbaude riska mazināšanai
Vadītāja rīkojums	Steidzams pārskaitījums “konfidenciāla darījuma” dēļ	Zvans vadītājam pa zināmu numuru, četru acu princips
Piegādātāja rekvizītu maiņa	Rēķins ar jaunu konta numuru no zināmas adreses	Mutiska verifikācija pa iepriekš zināmu kontaktu
Algas novirzīšana	“Darbinieks” lūdz mainīt algas kontu	Izmaiņas tikai caur personāla sistēmu ar identifikāciju
Juridiskais darījums	“Advokāts” par steidzamu iegādi vai soda naudu	Neviens maksājums netiek veikts ārpus parastā procesa

Kā notiek uzbrukums

1. Izpēte. Uzbrucējs noskaidro vadību, grāmatvedību, piegādātājus un maksājumu praksi – lielākoties no publiskiem avotiem.
2. Pozīcijas ieņemšana. Tiek reģistrēts līdzīgs domēns, uzlauzta pastkastīte vai iestatīta e-pasta pārsūtīšanas kārtula.
3. Novērošana. Ja pastkastīte ir uzlauzta, uzbrucējs klusi lasa saraksti nedēļām, lai iemācītos toni un darījumu ritmu.
4. Iesaistīšanās. Sarunā tiek ievadīts jauns konta numurs vai jauns maksājums, bieži esošas sarakstes turpinājumā.
5. Spiediens. Tiek pievienota steiga un slepenība, lai apietu parasto pārbaudi.
6. Izņemšana. Nauda ātri tiek pārvietota tālāk pa vairākiem kontiem, bieži citās valstīs.

Kontroles maksājumu aizsardzībai

Nepaļaujies tikai uz darbinieka spēju pamanīt viltojumu. Maksājuma mērķis, saņēmējs un rekvizītu izmaiņas jāpārbauda neatkarīgi no saņemtās sarakstes; kontroles jāpiemēro arī vadības pieprasījumiem.

• Apstiprinājums pa otru kanālu. Katram jaunam rekvizītam vai neparastam maksājumam – zvans uz iepriekš zināmu numuru, nevis uz to, kas norādīts vēstulē.
• Četru acu princips. Maksājumiem virs noteiktas summas – divi cilvēki, no kuriem viens nav iesaistīts sarakstē.
• Rekvizītu maiņa kā atsevišķs process. Bankas konta maiņa netiek apstrādāta kā parasts e-pasts, bet kā pieprasījums ar verifikāciju un pierakstu.
• E-pasta autentifikācija. SPF, DKIM un DMARC ar noraidīšanas politiku apgrūtina tava domēna viltošanu.
• Ārējo vēstuļu marķējums. Vizuāla atzīme par ārēju sūtītāju palīdz pamanīt neatbilstību, bet neaptur ziņu no pārņemta iekšējā konta.
• Līdzīgu domēnu uzraudzība. Jauns, uzņēmuma domēnam līdzīgs nosaukums var būt krāpniecības pazīme; izvērtē arī tā faktisko izmantojumu.
• Pastkastīšu kārtulu kontrole. Automātiska pārsūtīšana uz ārēju adresi ir viena no biežākajām kompromitēšanas pazīmēm.

Kad e-pastam pievienojas balss

Ģenerētu balsi un video krāpnieki pievieno tam pašam BEC scenārijam: vispirms vēstule, tad zvans, kas to “apstiprina”. Nevainojama valoda vai pazīstama balss pati par sevi neapstiprina saziņas īstumu.

Praktiskās sekas maksājumu procesam ir vienkāršas: “es dzirdēju vadītāja balsi” vairs nav apstiprinājums. Zvans, kas apstiprina e-pastā saņemtu lūgumu, ir derīgs tikai tad, ja to esi veicis tu pats uz iepriekš zināmu numuru. Sīkāk par to, ko var un ko nevar viltot, rakstām ceļvedī par deepfake krāpniecību.

Kā pārbaudīt savu procesu

Maksājumu procesa pārbaudi var sākt ar sešiem jautājumiem grāmatvedībai. Neskaidra atbilde palīdz atrast vietu, kur jāvienojas par atbildīgo, pārbaudes kārtību un pieļaujamajiem izņēmumiem.

1. Kas notiek, ja piegādātājs e-pastā paziņo par jaunu bankas kontu – kurš un kā to pārbauda?
2. Kāda summa prasa otra cilvēka apstiprinājumu, un vai šis slieksnis attiecas arī uz valdi?
3. Vai apstiprinātājam ir pieejama sarakste, vai viņš redz tikai maksājuma uzdevumu?
4. Kā rīkojas darbinieks, kurš saņem lūgumu no vadītāja ārpus darba laika?
5. Kur tiek fiksēts, ka rekvizītu maiņa ir pārbaudīta, un kas to var pēc tam pārskatīt?
6. Kam darbinieks ziņo, ja lūgums šķiet aizdomīgs, un cik ātri viņš saņem atbildi?

Tie paši jautājumi ir arī kontrolētas pārbaudes pamats: uzdevums nav pārsteigt darbiniekus, bet noskaidrot, vai procedūra iztur spiedienu. Metode, ar kuru uzbrucējs šo spiedienu rada, aprakstīta ceļvedī par pretekstēšanu.

Ko darīt pirmajās stundās

Ja maksājums jau veikts, nekavējoties sazinies ar banku. FBI IC3 2024. gada pārskatā līdzekļu atgūšanas komandas darbība aptvēra 3020 sūdzības par 848,4 miljoniem USD; iesaldēti 561,6 miljoni jeb aptuveni 66 % šīs summas. Tas nav sekmīgi atrisināto lietu īpatsvars vai naudas atgūšanas garantija Latvijā.

1. Zvani bankai un pieprasi maksājuma apturēšanu vai atsaukšanu – tas ir pirmais zvans, ne otrais.
2. Ziņo Valsts policijai un iesniedz maksājuma un sarakstes pierādījumus.
3. Saglabā oriģinālos e-pastus ar pilnajām galvenēm – tie ir pierādījums un izmeklēšanas materiāls.
4. Pārbaudi skarto pastkastīti: pārsūtīšanas kārtulas, jaunas ierīces, pieteikšanās no neparastām vietām.
5. Nomaini paroles un pārtrauc aktīvās sesijas; ja iespējams, ieslēdz pret pikšķerēšanu izturīgu daudzfaktoru autentifikāciju.
6. Brīdini pārējos darbiniekus un piegādātājus – uzbrucējs var vērsties arī pie citiem adresātiem.

Ja uzņēmums ietilpst Nacionālās kiberdrošības likuma tvērumā un incidents atbilst nozīmīga kiberincidenta kritērijiem, jāievēro arī likuma 34. panta termiņi: agrīnais brīdinājums 24 stundu laikā un ziņojums 72 stundu laikā kompetentajai kiberincidentu novēršanas institūcijai. Tie ir maksimālie termiņi – ziņot vajag nekavējoties pēc konstatēšanas, un uzticamības pakalpojumu sniedzējiem sākotnējais ziņojums jāiesniedz 24, nevis 72 stundās.

Biežākās kļūdas

• Atbilde uz to pašu vēstuli. Tā apstiprina tikai to, ka otrā galā kāds atbild – ne to, ka atbild piegādātājs.
• Izņēmums vadībai. Ja četru acu princips neattiecas uz valdes locekli, uzbrucējs uzdosies par valdes locekli.
• Paļaušanās uz to, ka “mēs pamanīsim”. Sarakstē no pārņemtas pastkastītes redzamu viltojuma pazīmju var nebūt.
• Gaidīšana līdz rītam. Iesaldēšanas iespēja samazinās ar katru stundu.
• Klusēšana. Neziņots gadījums nozīmē, ka tā pati kampaņa turpinās pret kolēģiem un piegādātājiem.