حسابدار شرکت ایمیلی از طرف مدیرعامل دریافت می‌کند: «در جلسه هستم و نمی‌توانم تلفن را جواب بدهم. این مبلغ را همین امروز به این حساب واریز کن و فعلاً با کسی در میان نگذار.» یا ایمیلی از طرف یک تأمین‌کننده قدیمی می‌رسد که می‌گوید شماره حساب‌شان عوض شده و پرداخت فاکتور بعدی باید به حساب جدید انجام شود. هر دو، نمونه‌های رایج کلاهبرداری BEC (Business Email Compromise) هستند. در این حمله نه پیوست آلوده‌ای در کار است و نه لینک مشکوکی؛ فقط یک پیام باورپذیر و یک کارمند دلسوز که می‌خواهد کار را سریع انجام دهد. پولی که واریز شود، برگرداندنش معمولاً بسیار دشوار است.
مهاجم چطور خودش را جای دیگری جا می‌زند؟
- جعل نام نمایشی: نام فرستنده دقیقاً نام مدیرعامل است، اما آدرس واقعی یک ایمیل رایگان یا ناشناس است. در موبایل که معمولاً فقط نام دیده می‌شود، این ترفند به‌راحتی جواب می‌دهد.
- دامنه مشابه: دامنه‌ای که با یک حرف جابه‌جا یا اضافه، شبیه دامنه شرکت شما یا تأمین‌کننده است.
- جعل مستقیم دامنه: اگر رکوردهای SPF، DKIM و DMARC دامنه درست تنظیم نشده باشند، ارسال ایمیل با همان آدرس واقعی هم ممکن است.
- صندوق واقعی نفوذشده: خطرناک‌ترین حالت. مهاجم رمز صندوق یکی از کارکنان شما یا تأمین‌کننده را به دست آورده، مکاتبات را می‌خواند و درست در وسط یک گفت‌وگوی واقعی، شماره حساب را عوض می‌کند. اغلب هم قانونی در صندوق می‌سازد که پاسخ‌ها را مخفی یا به بیرون فوروارد کند.
نشانه‌های هشدار
- فوریت غیرعادی و فشار برای انجام کار پیش از پایان روز
- درخواست محرمانه نگه داشتن موضوع و دور زدن روند معمول
- تغییر شماره حساب یا اطلاعات پرداخت از طریق ایمیل
- طفره رفتن از تماس تلفنی یا ارائه شماره تماس جدید
- تفاوت جزئی در آدرس فرستنده، یا آدرس پاسخ (Reply-To) متفاوت با آدرس فرستنده
پیشگیری؛ اول روند، بعد فناوری
مهم‌ترین سد در برابر BEC یک قاعده سازمانی ساده است، نه یک نرم‌افزار:
- هر تغییر اطلاعات پرداخت با تماس تلفنی تأیید شود. تماس با شماره‌ای که از قبل در پرونده تأمین‌کننده ثبت شده، نه شماره‌ای که در همان ایمیل آمده است.
- پرداخت‌های بالاتر از سقف مشخص، دو تأییدکننده داشته باشند.
- مدیران صریحاً اعلام کنند که هرگز از طریق ایمیل درخواست دور زدن روند پرداخت نمی‌کنند؛ تا کارمند برای تماس و پرسیدن احساس نگرانی نکند.
- درخواست‌های غیرعادی از هر مقامی، با یک کانال دوم مثل تلفن یا حضوری تأیید شوند.
قاعده طلایی برای واحد مالی: ایمیل هرگز به‌تنهایی برای تغییر شماره حساب یا پرداخت فوری کافی نیست؛ حتی اگر از آدرس واقعی و آشنا آمده باشد.
اقدام‌های فنی کمکی
- ورود دومرحله‌ای برای وب‌میل و دسترسی‌های ایمیل، تا رمز لو رفته به‌تنهایی کافی نباشد.
- برچسب یا هشدار «ایمیل از بیرون سازمان» روی پیام‌های ورودی، به‌خصوص وقتی نام فرستنده با نام یکی از مدیران یکسان است.
- تنظیم کامل SPF، DKIM و DMARC تا جعل مستقیم دامنه شرکت سخت شود.
- پایش قوانین فوروارد خودکار به آدرس‌های بیرونی و بررسی دوره‌ای قوانین صندوق‌های واحد مالی.
- آموزش کوتاه و دوره‌ای کارکنان مالی و دستیاران مدیران با نمونه‌های واقعی.
اگر اتفاق افتاد
- فوراً با بانک خود تماس بگیرید؛ سرعت عمل در پیگیری انتقال وجه اهمیت حیاتی دارد.
- ایمیل‌ها را حذف نکنید؛ همراه با سرآیندهای کامل نگه دارید.
- اگر صندوقی نفوذشده است، رمز آن را عوض کنید، نشست‌های فعال را ببندید و قوانین مشکوک را حذف کنید.
- به تأمین‌کننده یا مشتری مربوط اطلاع دهید؛ شاید صندوق آن‌ها نفوذشده باشد.
- موضوع را به پلیس فتا گزارش دهید.
چک‌لیست
- تأیید تلفنی هر تغییر اطلاعات پرداخت با شماره ثبت‌شده
- دو تأییدکننده برای پرداخت‌های بالاتر از سقف
- ورود دومرحله‌ای برای صندوق‌های ایمیل
- برچسب ایمیل بیرونی و رکوردهای SPF، DKIM و DMARC
- پایش قوانین فوروارد و صندوق‌های واحد مالی
- آموزش دوره‌ای کارکنان مالی
کارشناسان ITPlus724 می‌توانند تنظیمات امنیتی ایمیل سازمانی شما را بازبینی کنند و ورود دومرحله‌ای، برچسب ایمیل بیرونی و پایش قوانین فوروارد را پیاده‌سازی کنند.