Phishing v malých firmách: ako spoznať podvodný e-mail a čo robiť

Podvodné e-maily už dávno nie sú len zle preložené správy o výhre v lotérii. Do malých firiem prichádzajú ako faktúra od známeho dodávateľa so zmeneným číslom účtu, ako správa od „konateľa“ s prosbou o rýchlu platbu alebo ako upozornenie, že sa vám zaplní schránka a treba sa prihlásiť. Malá firma je pre útočníka výhodný cieľ: platby schvaľuje pár ľudí, postupy sú neformálne a nikto nemá čas overovať každú správu. Práve preto je dôležité vedieť, čo si všímať a čo robiť, keď niekto klikne.

Znaky, podľa ktorých podvodný e-mail spoznáte

Žiadny znak sám osebe nie je dôkazom podvodu; aj skutočný dodávateľ občas napíše narýchlo a s preklepmi. Rozhoduje kombinácia znakov a to, či správa žiada niečo, čo sa bežne rieši inak: platbu, heslo, zmenu údajov, otvorenie prílohy. Pri každom e-maile, ktorý niečo také žiada, si prejdite tento zoznam:

• Adresa odosielateľa sa líši od zobrazeného mena. Prejdite kurzorom na meno a pozrite si skutočnú adresu vrátane domény za zavináčom.
• Tlak na čas: „dnes do 14:00“, „inak bude účet zablokovaný“, „konateľ je na rokovaní a nemôže volať“.
• Zmena čísla účtu alebo platobných údajov pri existujúcom dodávateľovi, často s vysvetlením o audite alebo zmene banky.
• Odkaz, ktorý po prejdení kurzorom vedie inam, než hovorí text, alebo na doménu podobnú tej pravej s malou odchýlkou.
• Príloha, ktorú ste nečakali, najmä archív, dokument s makrami alebo súbor, ktorý sa tvári ako PDF.
• Žiadosť o prihlásenie cez odkaz v správe namiesto toho, aby ste do služby vošli ako zvyčajne.

Národná jednotka SK-CERT vo svojich radách k phishingu upozorňuje aj na cielený variant, pri ktorom útočník najskôr získa prístup do schránky niekoho z firmy a potom rozposiela správy zákazníkom, ktoré pôsobia úplne dôveryhodne, pretože prichádzajú z pravej adresy. Proti tomu žiadny zo znakov vyššie nepomôže; pomôže len pravidlo, že sa platobné údaje vždy overujú iným kanálom.

Pravidlá, ktoré vo firme zavedie aj neinformatik

Technika pomáha, ale najväčší účinok majú dohodnuté postupy. Prvé pravidlo: zmena čísla účtu dodávateľa sa vždy overí telefonátom na číslo, ktoré máte z predchádzajúcej komunikácie alebo zo zmluvy, nikdy na číslo uvedené v podozrivom e-maile. Druhé: platbu nad dohodnutú sumu schvaľujú dvaja ľudia bez ohľadu na to, kto o ňu žiada. Tretie: nikto sa neprihlasuje cez odkazy v e-mailoch; do banky, účtovníctva aj cloudových služieb sa vstupuje cez uložené záložky.

K tomu pridajte dvojfaktorové prihlasovanie do všetkých firemných služieb, správcu hesiel a pravidelné aktualizácie zariadení. Ak ľudia pracujú z domu, platia rovnaké pravidlá aj pre ich domáce počítače; ako to nastaviť, píšeme v článku o práci na diaľku v IT. A ak sa rozhodujete, či firemné systémy prevádzkovať vlastnými silami, zvážte aj to, kto ich bude aktualizovať; téme sa venujeme v porovnaní cloudu a vlastného servera.

Pár opatrení môže urobiť aj správca vašej domény. Nastavenie záznamov SPF, DKIM a DMARC sťaží útočníkom posielať e-maily, ktoré sa tvária, že prišli z vašej domény, a chráni tak vašich zákazníkov aj vaše meno. Poštové služby zase vedia označiť správy prichádzajúce zvonka viditeľnou poznámkou, takže e-mail od „konateľa“ z externej adresy je nápadný na prvý pohľad. Sú to nastavenia na jedno popoludnie, ktoré väčšina malých firiem nemá.

Čo robiť, keď niekto klikol alebo zaplatil

Rýchlosť rozhoduje. Ak niekto zadal heslo do falošnej stránky, okamžite ho zmeňte vo všetkých službách, kde sa používalo, a odhláste všetky aktívne relácie. Ak odišla platba na podvodný účet, volajte banke ihneď; čím kratší čas od odoslania, tým väčšia šanca prevod zastaviť. Ak sa otvorila príloha, odpojte počítač od siete a nechajte ho skontrolovať skôr, než sa vráti do prevádzky.

Incident zapíšte: čo prišlo, kto a kedy klikol, čo sa stalo potom. Pomôže to banke, polícii aj pri nahlásení jednotke SK-CERT, ktorá prijíma hlásenia kybernetických incidentov aj od firiem. A nakoniec: nehľadajte vinníka. Zamestnanec, ktorý sa bojí priznať kliknutie, dá útočníkovi hodiny náskoku. Firma, kde sa chyba nahlási do minúty, je bezpečnejšia než firma s najdrahším filtrom.