הונאת מנכ"ל: מייל מזויף שמורה להעביר כסף

יום חמישי, שתיים בצהריים. מנהלת הכספים מקבלת מייל מהמנכ"ל: עסקה רגישה, נדרשת העברה דחופה לספק חדש, ובבקשה לשמור על דיסקרטיות עד להשלמה. בסוף המייל הערה שהוא בטיסה ולא יהיה זמין בטלפון. הכול נראה נכון - הסגנון שלו, החתימה שלו, אפילו שגיאת ההקלדה שהוא תמיד עושה. ההעברה מתבצעת. ביום ראשון מתברר שהמנכ"ל לא שלח דבר.

איך זה בנוי: ארבעה שלבים

1. איסוף מודיעין. התוקף לומד את הארגון ממקורות גלויים: אתר החברה, רשתות מקצועיות, פרסומים. הוא מזהה מי המנכ"ל, מי מנהל הכספים, מי מאשר תשלומים ומי הספקים הקבועים.
2. השגת דריסת רגל. שתי אפשרויות שונות מהותית: הקמת דומיין דומה להפליא, או השתלטות ממשית על תיבת דואר קיימת.
3. המתנה לחלון הנכון. התוקף ממתין לרגע שבו הבכיר באמת אינו זמין - טיסה, כנס, חופשה, חג.
4. הביצוע. פנייה אחת, דחופה, עם דרישה לדיסקרטיות, ולרוב בסכום שנמצא בתוך סמכות האישור של מי שמקבל אותה.

דווקא ארגון מסודר הוא היעד הנוח

בעסק קטן ומבולגן, מנהלת כספים שמקבלת בקשה חריגה תרים טלפון למנכ"ל בלי להתלבט. בארגון היררכי ומסודר, שבו למנכ"ל יומן עמוס ושבו "לא מטרידים אותו בשטויות", אותה בקשה מקבלת הרבה פחות התנגדות.

התוקף אינו תוקף את הטכנולוגיה אלא את ההיררכיה ואת תרבות הציות. שלושת המרכיבים שהוא משלב - סמכות, דחיפות וסודיות - מנטרלים בדיוק את המנגנונים שהיו אמורים לעצור אותו. הנוהל צריך לקבוע שככל שהבקשה מגיעה מגורם בכיר יותר, כך אימות חוזר בערוץ נפרד מחייב יותר, ולא פחות.

שתי הונאות שנראות זהות

ארגון שמניח שמדובר בדומיין מתחזה, בעוד שבפועל התיבה נפרצה, ממשיך לנהל התכתבות עסקית בזמן שהתוקף קורא אותה. סימן שכדאי להכיר: אחת הפעולות הראשונות של תוקף שמשתלט על תיבה היא יצירת כלל העברה אוטומטי שמעביר עותק של הדואר החוצה, ולעיתים גם כלל שמוחק הודעות כדי שהבעלים לא יראה אותן. בדיקת כללי ההעברה לוקחת דקות. ראו חקירות פריצה למייל ולוואטסאפ וחקירות סייבר.

שלוש הווריאציות הנפוצות

• הונאת המנכ"ל הקלאסית. בקשה ישירה מהבכיר להעברה דחופה, נשענת כולה על סמכות.
• הסטת תשלום לספק. המסוכנת מכולן. פנייה בשם ספק ותיק על "שינוי פרטי חשבון". הסכום מוכר ואין דחיפות חריגה - ההונאה מתגלה רק כשהספק האמיתי מתקשר.
• הסטת שכר. פנייה למחלקת השכר בשם עובד, עם בקשה לעדכן חשבון בנק לפני מועד התשלום.

ארבע השעות הראשונות

1. פנו לבנק מיד. לא במייל - בטלפון, ובדרישה מפורשת לנסות לעצור או להקפיא את ההעברה.
2. אל תמחקו דבר. לא את המייל, לא את השרשור, ולא את כללי ההעברה אם נמצאו. תעדו ואז טפלו.
3. שמרו את הכותרות המלאות. לא צילום מסך - הקובץ המקורי עם כל הנתונים הטכניים.
4. הפסיקו תקשורת רגישה בערוץ החשוד. עברו לטלפון עד שתדעו מה קרה.
5. דווחו למשטרת ישראל ובמקביל ניתן לפנות למערך הסייבר הלאומי.
6. אל תודיעו לכל הארגון. אם התיבה נפרצה, התוקף קורא גם את ההודעה הזו.

סיפור מהשטח: הספק שלא שינה חשבון

חברה בינונית העבירה סכום משמעותי לספק קבוע, לפי מייל שהודיע על החלפת בנק. המייל הגיע משרשור קיים - כלומר נראה כהמשך של התכתבות אמיתית שהתנהלה שבועות קודם.

וזה בדיוק מה שהסגיר את אופי האירוע. כדי להשתלב בשרשור קיים, התוקף היה חייב לראות אותו. הבדיקה העלתה שהפריצה הייתה אצל הספק, והוא כלל לא ידע על כך - אותו תוקף ישב על התכתבות של עשרות לקוחות.

שני לקחים: מייל שמגיע בתוך שרשור קיים אינו סימן לאותנטיות אלא סימן אזהרה, והפרצה לא תמיד נמצאת אצלכם, ולכן הבדיקה צריכה להקיף את שני צדי ההתכתבות.

מה אנחנו עושים בתיק כזה

• ניתוח טכני. בחינת המקור הטכני של ההודעות, זיהוי הדומיין או נקודת הפריצה, ומיפוי מה נחשף.
• מעקב אחר הכסף. לאן הועבר ולאילו חשבונות. ראו חקירות כלכליות ואיתור נכסים דיגיטליים.
• בניית תיק ראייתי שניתן להגיש למשטרה, לבנק, לחברת הביטוח או לבית משפט. ראו איסוף ראיות קבילות.

אני אומר בכנות: השבת כספים אינה מובטחת, והיא תלויה במהירות, ביעד ההעברה ובשיתוף הפעולה של הגורמים הפיננסיים. מי שמבטיח לכם החזר אינו אומר אמת. מה שכן בשליטתנו הוא לסגור את הפרצה, להבין את היקף החשיפה ולבנות תיק. ראו חקירות הונאה והשבת כספים.

מניעה: שלושה כללים שעולים אפס

1. כלל האימות החוזר. כל שינוי פרטי בנק וכל העברה מעל סכום שתגדירו מאומתים בשיחת טלפון למספר המוכר מראש.
2. איסור על חריגה מנוהל בשל דחיפות. "דחוף" ו"סודי" הם סימני אזהרה, לא עילה לדלג על בדיקה.
3. הרשאה כפולה לסכומים גבוהים. שני אנשים, שני אישורים.

את ההטמעה שווה ללוות בסקר סיכונים, ובהקשר רחב יותר ראו חקירות מסחריות.

קרה לכם, או שאתם רוצים לוודא שלא יקרה?

אם ההעברה כבר בוצעה, הזמן הוא המשתנה היחיד שבשליטתכם כרגע. אל תחכו ליום עסקים הבא ואל תמתינו עד שתבינו בדיוק מה קרה - אפשר לפעול במקביל: לפנות לבנק ולהתחיל בדיקה. צרו קשר.