המייל הגיע מהכתובת הנכונה של הספק, והכסף עדיין נחת בחשבון של תוקף

בקצרה: בהונאת מייל עסקי התוקף לא מזייף כלום, הוא נכנס לתיבה אמיתית של ספק, מחכה לשרשור חשבונית פעיל ועונה בתוכו עם פרטי בנק מוחלפים. ההגנה היחידה שעובדת היא אימות טלפוני לפני העברה, למספר ששמור אצלכם מראש ולא למספר שמופיע במייל.

רוב העובדים הודרכו לחפש כתובת שולח חשודה וקישור מעוות. בהונאה הזאת אין מה לחפש. המייל יושב בתוך שרשור שהתחלתם אתם, החתימה נכונה, והנימוס זהה לזה של איש הקשר שאתם מכירים שנים.

קראו גם: ה-VPN בבית הקפה לא מגן על החשבון שלכם · יש לכם גיבוי? השאלה האמיתית היא מתי בדקתם שהוא נפתח · הסיסמה החזקה כבר לא שומרת עליכם: אימות דו-שלבי הוא הקו האמיתי

איך ההונאה עובדת בפועל

השלב הראשון הוא השתלטות על תיבת מייל אחת, לרוב של ספק קטן בלי אימות דו-שלבי. התוקף לא שולח שום דבר בשבועות הראשונים. הוא קורא. הוא מזהה מי מאשר תשלומים אצלכם, באיזה יום בחודש יוצאת ההעברה ומה הסכום הטיפוסי.

ואז מגיע הרגע. חשבונית אמיתית נשלחת, והתוקף עונה בתוך אותו שרשור: "שינינו בנק, אנא עדכנו פרטים". לפעמים הוא מוסיף טופס מסודר עם לוגו. מכיוון שהמייל יוצא מהתיבה האמיתית, כל בדיקת SPF ו-DKIM עוברת בהצלחה, ושום סינון טכני לא ידליק נורה.

ה-FBI מדרג את הונאות המייל העסקי בין סוגי הפשיעה המקוונת שגורמים לנזק הכספי הגדול ביותר לעסקים, הרבה מעל נזקי וירוסים. הסיבה פשוטה: אין כאן פריצה למערכת כספים, יש בקשה שנראית לגיטימית.

הסימנים שמבדילים בין בקשה אמיתית לבין עוקץ

סימן	מה אומרים לכם	מה באמת קורה
שינוי פרטי בנק	"עברנו לבנק אחר"	הסימן החשוד ביותר, ספקים מחליפים חשבון לעיתים רחוקות
דחיפות חריגה	"צריך לשלם היום, אחרת עוצרים אספקה"	לחץ זמן נועד למנוע מכם להתקשר ולאמת
בקשה לסודיות	"אל תעדכן את החשבות, זה דחוף"	בידוד המאשר משאר הארגון
מספר טלפון חדש במייל	"אפשר לאמת איתי בטלפון הזה"	המספר שייך לתוקף
חשבון בנק בשם אחר	"החשבון על שם חברת האם"	שם מוטב שלא תואם את שם הספק

האימות הדו-שלבי הוא גם מה שעוצר את השלב הראשון של ההונאה, כלומר את ההשתלטות על התיבה. זה בדיוק ההיגיון שהוסבר במאמר על אימות דו-שלבי כקו ההגנה האמיתי, ולא הסיסמה עצמה.

נוהל התשלום שמסיר את הסיכון

• כל שינוי פרטי בנק מאומת בשיחת טלפון למספר ששמור בכרטיס הספק, לא למספר מהמייל.
• העברה מעל סכום שתגדירו, למשל 5,000 שקל, דורשת אישור של שני אנשים.
• שם המוטב בהעברה חייב להיות זהה לשם הספק בחוזה.
• סמנו אוטומטית כל מייל שמגיע מחוץ לארגון, כולל כאלה שנראים פנימיים.
• תיעדו את מי שאישר כל שינוי פרטי בנק, עם תאריך ושעה.
• אימות דו-שלבי חובה על כל תיבת מייל בארגון, גם של מי שלא נוגע בכספים.

כשהתיבה כבר נפרצה, החקירה נשענת על לוגים ועל מצב התיבה לפני התקיפה. ארגון בלי שחזור עובד מגלה שהוא לא יודע מה בדיוק נמחק, וזו הנקודה שבה גיבוי שלא נבדק שווה בערך כלום.

הרבה מההשתלטויות מתחילות מסיסמה שדלפה באתר אחר לגמרי וחזרה בשימוש בתיבה העסקית, תהליך שמתואר במאמר על סיסמה שדלפה והתוקף מתחבר איתה.

אם ההעברה כבר יצאה, התקשרו לבנק באותה שעה ובקשו ניסיון החזרה. בהעברות מקומיות יש חלון קצר שבו אפשר לעצור את הכסף, ובהעברות בינלאומיות החלון קטן יותר.

הגדרות ושיטות של תקיפה המבוססת על מניפולציה של אנשים ולא של מערכות מופיעות בערך הנדסה חברתית בוויקיפדיה.

פתחו את כרטיס הספק שאליו אתם משלמים את הסכום הגדול ביותר, בדקו שיש בו מספר טלפון שאימתתם בעבר, וכתבו בנוהל התשלומים שורה אחת: שינוי פרטי בנק מאושר רק אחרי שיחה לאותו מספר.