Stsenaarium
CNIL kirjeldab võltsitud maksekorraldust, nn juhi nimel pettust, mitmes etapis. Petis kogub ettevõtte kohta teavet: struktuur, kliendid, tarnijad. Ta valmistab ette võltsitud domeeninime, mis sarnaneb ettevõtte või tarnija omaga, või võtab üle töötaja identiteedi. Seejärel ta kirjutab või helistab, esinedes juhi või tarnijana, taotlusega, mida esitletakse kiireloomulisena ja kõrgemal tasandil heakskiidetuna.
Variandid on sarnased:
- ootamatu, kiireloomuline ja konfidentsiaalne ülekanne, mida nõuab võlts juht või võlts kontsernijuht;
- tarnija, kes teatab järgmiste arvete jaoks pangarekvisiitide muutmisest;
- võlts arve õige summa ja õiges vormingus;
- ametiasutuse võlts kontroll, mida kasutatakse seejärel ettevõtte klientidele uue pangakontoga kirjutamiseks; seda stsenaariumi kirjeldab Prantsuse majandusministeerium.
Häll on alati inimlik: kiirustamine, saladus, autoriteet. Prantsuse majandusministeerium soovitab mitte tegutseda kiirustades, isegi pealekäiva vestluskaaslase korral, ja olla eriti valvas puhkuste ajal, kui raamatupidamine töötab väiksema koosseisuga.
Näide illustratsiooniks. Reede hilispärastlõunal saab VKE raamatupidaja kirja „tegevjuhilt“: konfidentsiaalne omandamine, advokaat, kes helistab, ülekanne, mis tuleb teha enne esmaspäeva. Kirjas pole manust ega linki. Kuvatav nimi on õige, aadress mitte. Tehniliselt pole miski „nakatunud“.
Mitte üks, vaid neli võltsimise vormi
| Vorm | Kuidas see välja näeb | SPF, DKIM, DMARC | Mis võib selle tuvastada |
|---|
| Võltsitud kuvatav nimi | „Claire Martin, tegevjuht“ kirjutab tasuta e-posti teenusest | Kehtivad saatja tegeliku domeeni jaoks; DMARC ei käsitle kuvatavat nime | Kuvatava nime, aadressi ja domeeni juhtide nimede võrdlemine |
| Sarnane domeen | Kahekordne täht, sidekriips, teine laiend | Võivad sarnase domeeni jaoks olla täiuslikud | Sarnasus teie või tarnija domeeniga, domeeni vanus, maine |
| Teie täpne domeen, saadetud mujalt | Kuvatav aadress on õige | DMARC ebaõnnestub; see peatab kirja, kui domeeni poliitika seda nõuab | DMARC-kontroll saabumisel |
| Tegelikult kompromiteeritud konto | Kiri tuleb juhi või tarnija päris postkastist | Kõik on kehtiv | Käitumise muutus, sisu (uued pangarekvisiidid) ja eelkõige kontrolliprotseduur |
DMARC-i spetsifikatsioon ütleb seda ise: see ei käsitle visuaalselt sarnaseid domeene ega kuvatava nime kuritarvitamist. Kolm juhtumit neljast jäävad seega domeeni autentimisest välja. Üksikasjad on juhendis SPF, DKIM ja DMARC ja varastatud konto juhtum juhendis rämpspost, õngitsemine, pahavara ja kompromiteeritud konto.
Mida tehnika peatab
- Täpse domeeni võltsimise, kui domeen avaldab karantiini või tagasilükkamise DMARC-poliitika.
- Sarnase domeeni, võrreldes seda teie domeeni, teie tarnijate domeenide ja tuntud kaubamärkidega ning domeeni vanuse järgi: eelmisel nädalal loodud domeen, mis jäljendab teie oma, on tugev signaal.
- Eksitava kuvatava nime, kui filter teab, kes on ettevõtte juhid, ja võrdleb kuvatavat nime tegeliku aadressiga.
- Tuntud stsenaariumid: kiireloomulise ülekande taotlus, pangarekvisiitide muutmine, võlts arve, kutse helistada numbrile. Filter võib need mustrid tekstis ära tunda ka ilma manuse ja lingita.
- Kõrvalekalde: tavapärane tarnija, kes kirjutab äkki teisest riigist, teisel kellaajal, taotlusega, mida ta pole kunagi esitanud.
Sageli unustatud punkt: filter ei tea vaikimisi, kes on teie juht ega kes on teie tarnijad. Selle konteksti, juhtide nimede ja tavapäraste tarnijate andmine võimaldab tal võltsjuhti näha.
Mida tehnika ei otsusta
Filter vähendab kohale jõudvate võltskirjade arvu. See ei kinnita makset. Tegelikult kompromiteeritud konto, usutav taotlus, loenditele tundmatu sarnane domeen: kiri võib läbi pääseda. Viimane barjäär on protseduur.
Protseduuri kirjutatavad refleksid
- Iga pangarekvisiitide muutus kinnitatakse juba tuntud kanali kaudu: kõne tarnija numbrile, mis on teie toimikutes, mitte kunagi kirjas antud numbrile. CNIL soovitab võtta tuntud kontaktidega ühendust telefoni teel või isiklikult.
- Topeltkinnitus teatud piirsummast alates, kahe inimese poolt, kellest üks on vestluslõimest väljas.
- Kiirustamine ja saladus on hoiatusmärgid, mitte põhjused kiiremini tegutseda. Päris juht nõustub tagasihelistamisega.
- Tarnijate ja klientide ajakohane kontaktloend, nagu soovitab CNIL, et teada, kellele helistada.
- Suurem valvsus puhkuste, aruandeperioodi lõpetamise või organisatsiooni muutuste ajal.
- Teie omaga sarnaste domeeninimede broneerimine ja kaheastmeline autentimine e-postis, kaks meedet, mida CNIL nimetab.
Kes peab neid reegleid teadma
Mitte ainult raamatupidamine. Juhtide assistendid, ostjad, tarnijakaarte haldavad inimesed ja puuduvaid kolleege asendavad inimesed on stsenaariumi loomulikud sihtmärgid, sest neil on juurdepääs maksetele või pangarekvisiitidele. CNIL soovitab teadvustada töötajatele domeeninimede kontrollimise vajadust ja ebatavaliste taotluste suhtes ettevaatlik olla. Kirjalik, lühike, kõigile teada ja korrapäraselt meelde tuletatud reegel on parem kui suuline juhis: see võimaldab töötajal öelda võltsjuhile „ei“, kartmata, et teda ei toetata.
Kui petturlik ülekanne on teele läinud: helistage kohe pangale, et seda tühistada püüda, säilitage kirjad, esitage kuriteoteade. Teavitage ka kliente või tarnijaid, kelle nime kasutati.
Korduma kippuvad küsimused
Kas DMARC-ist piisab juhi nimel pettuse vastu?
Ei. See peatab teie domeeni täpse võltsimise, mitte sarnast domeeni ega kuvatavat nime. Vt SPF, DKIM ja DMARC.
Kas kiri ilma manuse ja lingita võib olla ohtlik?
Jah. Ülekandepettus vajab ainult usutavat teksti ja inimest, kes selle täidab.
Kiri tuleb tarnija päris aadressilt: kas see on turvaline?
Mitte tingimata: tema konto võidi varastada. Vt kompromiteeritud konto. Otsustab kontroll telefoni teel.
Pettuskiri pandi karantiini: kas see tuleb kontrollimiseks vabastada?
Ei. Kontrollige tuntud kontaktiga, vabastamata. Vt Karantiin, valepositiivsed tulemused ja teatamine.
Klyticu positsioon
Klytic MTA jagab selle kaitse oma kahe paketi vahel. See töötab mis tahes e-posti teenuse ees, ilma Klytic Mailita.
| Kaitse | Essential | Advanced |
|---|
| SPF-, DKIM- ja DMARC-kontroll, ka edasi saadetud kirjade puhul | Jah | Jah |
| Kaubamärgi võltsimine, sarnased domeenid, kuvatava nime võltsimine | Jah | Jah |
| Saatja ebatavaline käitumine | Jah | Jah |
| Juhi nimel pettus | Ei | Jah |
| Võlts arved, võlts ülekanded, krüptoraha, tagasimaksed, rahastamine, telefonikõned | Ei | Jah |
| SMS-hoiatus, kui oluline saatja kirjutab | Lisavõimalus | Lisavõimalus |
Domeeni pettuse konteksti (juhtide nimed, tavapärased tarnijad) seadistab domeeni administraator: vt Kes seadistab filtrit Klytic MTA-s.
Mida Klytic MTA ei tee: see ei kinnita ühtki makset ega asenda teie ülekandeprotseduuri. See ei näe otsest telefonikõnet, ainult kirju, mis kutsuvad helistama.
See leht kirjeldab üldisi meetmeid. See ei asenda teie panga ega ametiasutuste nõuandeid tuvastatud pettuse korral.
Allikad
Vaadatud oktoobris 2026.
- CNIL, „Le faux ordre de virement international ou fraude au président“: rünnaku käik (luure, sarnane domeen, kiireloomuline taotlus), ennetusmeetmed (tuntud kontaktidele tagasihelistamine, kinnitusprotseduurid, sarnaste domeenide broneerimine, kaheastmeline autentimine). cnil.fr
- Prantsuse majandusministeerium, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président“: kiireloomulise ja konfidentsiaalsena esitletud ülekanne, ametiasutuse nime kasutamine pangarekvisiitide muutusest teatamiseks, mitte tegutseda kiirustades, valvsus puhkuste ajal. economie.gouv.fr
- RFC 7489, DMARC: mehhanismi ulatusest väljas on visuaalselt sarnased domeeninimed ja kuvatava nime kuritarvitamine. rfc-editor.org
- Klytic, Klytic MTA leht: finantspettuse kaitse jaotus Essential- ja Advanced-paketi vahel, lisavõimalused, juurutusviisid, kasutuselevõtt MX-kirje kaudu. klytic.com
