Cândva la mijlocul lunii august directorul economic al unei companii din Bistrița a făcut un transfer bancar de aproape 40 de milioane de euro, la cererea managerului general de la sediul din Germania. Nimic neobișnuit până aici. Banii circulă în sume mari și cu viteză gândului astăzi. Numai că directorul general nu era chiar directorul general, ci o persoană necunoscută care a clonat la mare artă identitatea executivului german, reușind astfel să convingă contabilul român să trimită banii în doi timpi și trei mișcări. Citiți povestea aici.

Ceea ce s-a întâmplat la Bistrița este un atac de tip phishing. Termenul e tradus popular prin înșelăciune electronică și este definit că “o formă de activitate infracțională care constă în obținerea unor date confidențiale, cum ar fi date de acces pentru aplicații de tip bancar, aplicații de comerț electronic sau informații referitoare la carduri de credit, folosind tehnici de manipulare a datelor identității unei persoane sau a unei instituții”, conform Wikipedia.

Phishing-ul nu este ceva nou. Multe bănci și-au avertizat de-a lungul timpului clienții să fie atenți la mail-urile pe care le primesc și să nu mai dea ușor date personale sau de identificare bancară, riscând astfel să rămână fără economii. Oamenii nu învățat însă din greșelile altora. Dați un search acum pe Google după știrile despre “phishing” și veți vedea cum multe companii cunoscute se confruntă cu atacuri la adresă clienților lor.

În mod frecvent, atacurile de tip phishing sunt orientate spre clienții unei companii (gen bancă, firmă de plăți online etc). Aceștia sunt convinși prin mesaje bine scrise și aparent adresate de companiile în cauză să ofere datele prin care inițiatorii atacului pot sustrage apoi foarte ușor sume din conturi. În cazul din Bistrița, vorbim de un atac țintit către o singură persoană din interiorul companiei, care a generat un prejudiciu imens. Atacatorii nu s-au jucat cu mărunțișul de pe cardul de salariu. Altfel spus, a fost un atac P2B (phishing to business) și nu unul P2C (phishing to consumer).

Cum a fost posibil?

Am vrut să aflu unde a greșit omul din companie și mai ales ce ar trebui să facă astăzi o companie pentru a nu deveni victimă. L-am întrebat pe Liviu Arsene, Senior E-threat Analyst la Bitdefender, care mi-a răspuns:

“Acestă formă de fraudă, în care infractorii se folosesc de adresele de e-mail ale directorilor de companii pentru a derula tranzacții bancare, a devenit foarte populară în ultimii ani. FBI a avertizat că daunele financiare se pot ridica la aproximativ 2,3 miliarde de dolari la nivel global, între octombrie 2013 și februarie 2016.

Atacurile de tip phishing sunt foarte des folosite în obținerea de credentiale de acces (nume utilizator și parolă) la conturi de socializare, email-uri, sau orice alt serviciu online. Atacatori pot trimite email-uri aparent legitime, încercând să convingă victima de necesitatea reconectării la anumite servicii sau de a schimba parola la diverse conturi online. Prin accesarea link-urilor frauduloase, utilizatorii pot fi păcăliți să trimită parole către atacatori, aceștia preluând integral controlul asupra contului victimei.

Este recomandat ca angajații companiilor să fie instruiți în identificarea formelor de phishing și inginerie socială, pentru a evita astfel de frauda. În cazul de față, se recomandă și implementarea unor proceduri mai stricte cu privire la inițierea tranzacțiilor sau plăților online. Dacă pentru sistemele online se folosește autentificarea cu doi factori ca măsură suplimentară de siguranță, o măsură similară s-ar putea implementa și în cazul unor astfel de tranzacții. Spre exemplu, o metodă ar putea fi contactarea telefonică a directorului pentru confirmarea tranzacției sau eventual introducerea mai multor membri în procesul de validare a tranzacției.”

Adesea punem scuza de a nu folosi servicii bancare sau de plăți online pe seamă nesiguranței Internetului. De fapt, în foarte multe cazuri, vina nu este a Internetului, ci a utilizatorilor neatenți și neexperimentați. Deci un pic mai multă atenție nu strică nimănui!

Citiți un ghid explicativ despre phishing pe blogul Bitdefender.

Sursa foto: © Eugenesergeev | Dreamstime.com – Hacker In A Hood On Dark Blue Background Photo