Бизнес-фрод: пять паттернов, высасывающих счета компаний
Большая часть фрода на бизнес-счетах — не сложный хакинг. Это пять известных социнженерных паттернов, работающих, потому что команды не обучены.
Гламурный образ корпхакинга — утечки баз, zero-day — составляет малую долю реальных убытков. Большинство — из пяти социнженерных паттернов, каждый известен годами и продолжает работать из-за провалов обучения. Научите этому команду.
1. CEO wire fraud (BEC)
Злоумышленник компрометирует/спуфит почту CEO, просит AP срочно отправить wire новому поставщику, часто «пока я в командировке и не могу подписать лично». Убытки €1-€5M за инцидент у средних компаний. Защита: любой wire свыше порога (например, €10 000) требует голосового подтверждения отправителя по известному номеру — не из письма.
2. Invoice redirect fraud
Компрометирует почту поставщика, отправляет обновлённый счёт с новыми «реквизитами». Платите мошеннику; поставщик не видит ничего. Защита: Confirmation of Payee (имя получателя должно совпасть). Голосовая верификация изменения реквизитов поставщика (не ответом на письмо). Политики обновления поставщика с двойным согласованием.
3. Payroll diversion
Компрометирует HR-портал сотрудника и меняет счёт. Следующая зарплата — мошеннику. Защита: HR-портал должен отправлять подтверждение + задержку (24-48 ч) при изменении реквизитов. MFA на HR-доступе.
4. Фейковый onboarding вендора
Злоумышленник ставит правдоподобный сайт вендора и подаёт «счёт» за услугу, которую бизнес правдоподобно использует (SEO, юр, IT). Сумма достаточно мала, чтобы пройти незамеченной. Защита: onboarding вендора — человеческая подпись и верифицирующий звонок. Категоризация расходов должна флагать «неизвестный вендор» первым счётам на ревью.
5. «Email compromise» через URL
Покупает домен в одной букве от ключевого контрагента (nedsom-com вместо nedsom.com). Шлёт письма «noreply@nedsom-com», выглядящие легитимно. Можно использовать для любого из выше. Защита: DMARC/DKIM на вашем домене и обучение сотрудников тщательно смотреть домен отправителя для критических действий.
Операционные контроли, режущие все пять
Двойное одобрение wire свыше порога. 24-часовое cool-off перед новыми вендорскими платежами. Голосовая верификация изменения реквизитов. Алерты категорий трат по необычной активности. Квартальные симуляции фишинга с переобучением кликающих. Эти пять контролей, применённые единообразно, устраняют 90%+ успешных атак.