Sådan bliver angrebet forberedt
Angriberen researcher først. Hvem er direktør, hvem sidder med betalinger, hvilke leverandører bruges, og hvornår er ledelsen på rejse? Det meste ligger frit tilgængeligt på hjemmesiden, LinkedIn og i CVR.
Selve angrebet kommer som en mail fra direktøren. Kort, fortrolig og hastende. En opkøbssituation, en leverandør der skal betales i dag, et nyt kontonummer.
Afsenderen er enten et forfalsket domæne, et lookalike-domæne som aur0a.dk i stedet for auroa.dk, eller i de værste tilfælde direktørens rigtige postkasse, som er blevet kompromitteret.
De fire varianter
- Den klassiske hastebetaling. “Jeg sidder i møde, denne overførsel skal afsted nu. Diskret.”
- Fakturasvindel. En ægte leverandørfaktura efterlignes med nyt kontonummer. Ofte fordi leverandørens mailkonto er kompromitteret, så svindelmailen kommer fra den ægte adresse midt i en ægte korrespondance.
- Lønsvindel. “HR bedes ændre min kontooplysning før næste lønkørsel.”
- Gavekortsvarianten. Mindre beløb, men hyppig. “Køb gavekort til kunderne og send mig koderne.”
Hvordan stopper I det?
To lag gør det meste af arbejdet.
- Én ufravigelig procedure. Alle kontonummerændringer og alle uvarslede hastebetalinger verificeres via en anden kanal. Et opkald til et nummer, I selv har i forvejen, aldrig nummeret i mailen. Reglen skal gælde alle, også direktøren, og det skal være udtrykkeligt legitimt at sige “det tjekker jeg lige først”, uanset hvor meget der presses på.
- Teknisk spærring af jeres domæne. Håndhævet DMARC gør, at mails, der forfalsker jeres domæne, bliver afvist hos modtageren. Suppler med MFA på alle postkasser, så angriberen ikke kan overtage de ægte konti, og med regler der flager eksterne mails og lookalike-domæner.
Når betalingen allerede er sendt
Ring til banken med det samme og bed om at standse eller tilbagekalde overførslen. Chancen falder time for time, især ved udlandsbetalinger.
Politianmeld forholdet, og undersøg straks, om en postkasse er kompromitteret. Se efter videresendelsesregler og ukendte logins, så svindlen ikke fortsætter mod jeres kunder.
I én af de gennemgange, vi lavede den seneste måned, fandt vi et lookalike-domæne, der lignede kundens til forveksling og stod uregistreret. Under hundrede kroner at sikre. Betydeligt dyrere at opdage efter en fejlbetaling.
Og behandl forløbet som en sikkerhedshændelse, ikke som en bogholderifejl. Forskellen afgør, om nogen leder efter, hvordan de kom ind. Det tekniske lag lukker vi under stop mailspoofing.