Сценарият
CNIL описва фалшивото нареждане за превод, така наречената „измама фалшив президент“, на няколко етапа. Измамникът събира информация за дружеството: органиграма, клиенти, доставчици. Той подготвя фалшив домейн, близък до този на дружеството или на доставчик, или се представя за служител. След това пише или се обажда, представяйки се за ръководител или доставчик, с искане, представено като спешно и одобрено на най-високо ниво.
Вариантите са сходни:
- непредвиден, спешен и поверителен превод, поискан от фалшив ръководител или фалшив отговорник от групата;
- доставчик, който обявява смяна на банковата си сметка за следващите фактури;
- фалшива фактура с правилна сума и в правилен формат;
- фалшива проверка от държавна администрация, която след това се използва, за да се пише на клиентите на дружеството с нова банкова сметка – сценарий, описан от френското Министерство на икономиката.
Лостът винаги е човешки: спешност, тайна, авторитет. Министерството на икономиката съветва да не се действа прибързано, дори при настоятелен събеседник, и да се внимава още повече по време на отпуски, когато счетоводните отдели работят с намален състав.
Пример за илюстрация. В петък късно следобед счетоводителката на малко предприятие получава съобщение от „изпълнителния директор“: поверително придобиване, адвокат, който ще се обади, превод, който трябва да се направи до понеделник. Съобщението няма нито прикачен файл, нито връзка. Показваното име е точно, адресът не е. Технически нищо не е „заразено“.
Четири форми на подправяне, а не една
| Форма | Как изглежда | SPF, DKIM, DMARC | Какво може да я засече |
|---|
| Подправено показвано име | „Клер Мартен, Изп. директор“, писано от безплатна поща | Валидни за истинския домейн на подателя; DMARC не обработва показваното име | Сравнение между показваното име, адреса и имената на мениджърите в домейна |
| Домейн двойник | Удвоена буква, тире, друго разширение | Могат да са безупречни за домейна двойник | Прилика с вашия домейн или с този на доставчик, възраст на домейна, репутация |
| Точният ви домейн, изпратен отдругаде | Показаният адрес е истинският | DMARC не преминава; спира съобщението, ако политиката на домейна го изисква | DMARC проверка при получаване |
| Наистина компрометиран акаунт | Съобщението идва от истинската кутия на ръководителя или доставчика | Всичко е валидно | Промяна в поведението, съдържание (нова банкова сметка) и преди всичко процедурата за проверка |
Самата спецификация на DMARC го казва: тя не обхваща нито визуално сходните домейни, нито злоупотребата с показваното име. Така три от четирите случая убягват на удостоверяването на домейна. Подробности има в SPF, DKIM и DMARC, а случаят с откраднат акаунт – в спам, фишинг, зловреден софтуер и компрометиран акаунт.
Какво спира техниката
- Точният подправен домейн, когато домейнът публикува DMARC политика за карантина или отхвърляне.
- Домейнът двойник, чрез сравнение с вашия домейн, с тези на доставчиците ви и с известните марки, както и чрез възрастта на домейна: домейн, създаден миналата седмица, който имитира вашия, е силен сигнал.
- Подвеждащото показвано име, когато филтърът знае кои са мениджърите на дружеството и сравнява показваното име с истинския адрес.
- Известните сценарии: искане за спешен превод, смяна на банкови данни, фалшива фактура, покана да се обадите на даден номер. Филтърът може да разпознае тези схеми в текста, дори без прикачен файл или връзка.
- Аномалията: постоянен доставчик, който изведнъж пише от друга държава, в друг час, с искане, което никога не е отправял.
Често забравяна подробност: по подразбиране филтърът не знае кой е вашият ръководител и кои са доставчиците ви. Именно този контекст – имената на мениджърите и постоянните доставчици – му позволява да разпознае фалшив ръководител.
Какво техниката не решава
Филтърът намалява броя на пристигащите фалшиви съобщения. Той не одобрява плащане. Наистина компрометиран акаунт, правдоподобно искане, домейн двойник, който не фигурира в списъците: съобщението може да премине. Последната бариера е процедура.
Правила, които да се впишат в процедурата
- Всяка смяна на банкови данни се потвърждава по вече известен канал: обаждане на номера на доставчика, който е във вашите досиета, никога на този от съобщението. CNIL препоръчва известните контакти да се търсят по телефона или лично.
- Двойно одобрение над определен праг, от двама души, от които единият извън кореспонденцията.
- Спешността и тайната са предупредителни сигнали, а не причини да се действа по-бързо. Истинският ръководител приема обратно обаждане.
- Актуален списък с контактите на доставчици и клиенти, както препоръчва CNIL, за да знаете на кого да се обадите.
- Повишено внимание по време на отпуски, приключване на годината или организационни промени.
- Резервиране на домейни, близки до вашия, и двуфакторно удостоверяване за пощата – две мерки, посочени от CNIL.
Кой трябва да знае тези правила
Не само счетоводството. Асистентите на ръководството, служителите по доставките, хората, които поддържат картоните на доставчиците, и тези, които заместват отсъстващ, са естествени мишени на сценария, защото имат достъп до плащанията или до банковите данни. CNIL препоръчва служителите да бъдат обучени да проверяват домейните и да се пазят от необичайни искания. Писмено правило – кратко, известно на всички и редовно напомняно – е по-добро от устно указание: то позволява на служител да каже „не“ на фалшив ръководител, без да се страхува, че ще бъде дезавуиран.
Ако измамнически превод вече е направен: обадете се веднага на банката, за да опитате да го анулирате, запазете съобщенията, подайте сигнал. Уведомете и клиентите или доставчиците, чието име е било използвано.
Често задавани въпроси
Достатъчен ли е DMARC срещу измамата „фалшив ръководител“?
Не. Той спира точното подправяне на вашия домейн, но не и домейна двойник или показваното име. Вижте SPF, DKIM и DMARC.
Може ли съобщение без прикачен файл и без връзка да бъде опасно?
Да. Измамата с преводи се нуждае само от правдоподобен текст и от човек, който да изпълни.
Съобщението идва от истинския адрес на доставчика: сигурно ли е?
Не непременно: акаунтът му може да е откраднат. Вижте компрометиран акаунт. Проверката по телефона е решаваща.
Измамническо съобщение е поставено в карантина: трябва ли да го освободя, за да проверя?
Не. Проверете при известния контакт, без да освобождавате. Вижте Карантина, фалшиви сигнали и докладване.
Къде се намира Klytic
Klytic MTA разпределя тази защита между двата си плана. Той работи пред всяка пощенска система, без Klytic Mail.
| Защита | Essential | Advanced |
|---|
| Проверка на SPF, DKIM, DMARC, включително за препратени съобщения | Да | Да |
| Подправяне на марка, домейни двойници, подправяне на показваното име | Да | Да |
| Необичайно поведение на подател | Да | Да |
| Измама „фалшив ръководител“ | Не | Да |
| Фалшиви фактури, фалшиви преводи, криптовалути, възстановявания на суми, финансирания, телефонни обаждания | Не | Да |
| SMS известие, когато пише важен подател | Опция | Опция |
Контекстът на измами за домейна (имена на мениджъри, постоянни доставчици) се настройва от администратора на домейна: вижте Кой настройва филтъра в Klytic MTA.
Какво не прави Klytic MTA: той не одобрява плащания и не замества вашата процедура за преводи. Той не вижда пряко телефонно обаждане, а само съобщенията, които канят да се обадите.
Тази страница описва общи мерки. Тя не замества нито съветите на вашата банка, нито тези на компетентните органи при доказана измама.
Източници
Прегледани през октомври 2026 г.
- CNIL, „Le faux ordre de virement international ou fraude au président“: ход на атаката (разузнаване, сходен домейн, спешно искане), превентивни мерки (обаждане на известните контакти, процедури за одобрение, резервиране на сходни домейни, двуфакторно удостоверяване). cnil.fr
- Министерство на икономиката на Франция, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président“: превод, представен като спешен и поверителен, представяне за администрация с цел обявяване на смяна на банкова сметка, без прибързани действия, внимание по време на отпуски. economie.gouv.fr
- RFC 7489, DMARC: извън обхвата на механизма са визуално сходните домейни и злоупотребата с показваното име. rfc-editor.org
- Klytic, страница Klytic MTA: разпределение на защитата срещу финансови измами между плановете Essential и Advanced, опции, начини на внедряване, въвеждане в експлоатация чрез MX. klytic.com
