Moduł 2 · ok. 14 min

Ataki na kierownictwo

Atak na kierownika wygląda jak zwykła, pilna sprawa służbowa. Różni się jednym: chodzi o pieniądze, podpis lub dostęp.

2.1 Pilny przelew od „dyrektora”

To oszustwo „na szefa” (po angielsku CEO fraud). Wiadomość wygląda, jakby pisał dyrektor. Prosi o pilny, poufny przelew. Zwykle trafia w piątek po południu albo w czasie urlopu. Zobacz rysunek 2: numery odpowiadają sygnałom na liście.

1. 1
   Prywatny lub podobny adres nadawcyNazwa się zgadza, ale adres po „@” jest obcy albo prywatny.
2. 2
   Pośpiech i poufność„Pilne”, „dziś”, „poufne”. Presja ma wyłączyć myślenie.
3. 3
   Zakaz telefonu„Nie dzwoń.” Oszust nie chce, żebyś sprawdził prośbę.
4. 4
   Przelew poza zwykłą drogąKwota i odbiorca nie pasują do planu płatności.
5. 5
   Nowy rachunek w załącznikuNumer konta jest tylko w pliku od „dyrektora”, nie w umowie.
6. 6
   Coś się nie zgadzaInny styl, nietypowa godzina, błędy. Dyrektor tak nie pisze.

Co robisz. Wstrzymujesz przelew. Dzwonisz do dyrektora na numer, który znasz. Przelewy poza planem zatwierdzają dwie osoby. Dlaczego: oszust kontroluje kanał, którym pisze, ale nie kontroluje twojego telefonu.

Czego nie robisz. Nie odpisujesz z pytaniem „czy to ty”. Nie robisz przelewu „tylko tym razem”. Jako dyrektor nie zlecasz przelewów wiadomością z dopiskiem „nie dzwoń”.

2.2 Podrobiony głos i obraz

Deepfake (czytaj: dipfejk) to nagranie głosu lub obrazu stworzone przez sztuczną inteligencję. Brzmi jak prawdziwa osoba. Wystarczy kilka sekund nagrania, np. z publicznego wystąpienia. Dla oszusta twój głos jest tak samo dostępny jak twoje nazwisko.

Po czym poznasz. Prośba jest pilna i nietypowa. Rozmówca chce kodu, przelewu albo dostępu. Prosi o tajemnicę. Połączenie jest krótkie, a oddzwonienie „niemożliwe”. Co robisz. Kończysz rozmowę i oddzwaniasz na znany numer. Nic nie zatwierdzasz w trakcie tej rozmowy.

Dlaczego hasło kontrolne. Brzmienie głosu niczego nie dowodzi. Dlatego kierownictwo ustala umówione słowo. Zna je kilka osób. Zmieniasz je co jakiś czas. Nie wysyłasz go mailem.

2.3 Wyłudzenie podpisu

Twój podpis zmienia rzeczywistość. Aneks zmienia rachunek do płatności. Upoważnienie otwiera dostęp. Dlatego oszust woli twój podpis niż twoje hasło. Dokument przychodzi mailem z prośbą o szybki podpis i odesłanie skanu. Zobacz rysunek 4.

1. 1
   Adres nadawcyDomena różni się od domeny z umowy.
2. 2
   Termin „do 14:00”Pośpiech odbiera czas na sprawdzenie.
3. 3
   Nowy rachunek w innym bankuBrak numeru umowy, której dotyczy zmiana.
4. 4
   Inny adres zwrotnyOdpowiedź trafiłaby do oszusta, nie do dostawcy.
5. 5
   Wklejony podpis dostawcyWygląda jak obrazek, nie jak prawdziwy podpis.

Co robisz. Nie podpisujesz od razu. Dzwonisz do dostawcy na numer z umowy. Zmianę rachunku zatwierdza druga osoba. Do podpisu elektronicznego logujesz się tylko ze znanej zakładki, nie z linku w mailu. Dlaczego: raz złożony podpis trudno cofnąć.

2.4 Fałszywy organ

Telefon „z Sądu Rejonowego w Przykładowie” albo „od organu prowadzącego” brzmi poważnie. Prosi o listę płac, o dane podopiecznych albo o pilną zgodę. Prawdziwy organ nie żąda takich rzeczy przez telefon. Kończysz rozmowę i oddzwaniasz na numer ze strony urzędu lub z akt.

2.5 Twoje własne konta

Twoja poczta ma duże uprawnienia. Włamywacz ukrywa w niej czasem regułę, która przekazuje kopie wiadomości na obcy adres. Raz na jakiś czas proś IT o sprawdzenie reguł przekazywania poczty. Sekretariat dostaje dostęp do skrzynki osobną funkcją, nie twoim hasłem.