A forgatókönyv
A CNIL a hamis átutalási megbízást, az úgynevezett „CEO-csalást”, több szakaszban írja le. A csaló információt gyűjt a vállalatról: szervezeti felépítés, ügyfelek, beszállítók. Hamis domainnevet készít elő, amely hasonlít a vállalatéra vagy egy beszállítóéra, vagy egy munkavállaló személyazonosságával él vissza. Ezután ír vagy telefonál, vezetőnek vagy beszállítónak adva ki magát, sürgősként és felső szinten jóváhagyottként bemutatott kéréssel.
A változatok hasonlítanak egymásra:
- egy váratlan, sürgős és bizalmas átutalás, amelyet egy hamis vezető vagy a cégcsoport egy hamis felelőse kér;
- egy beszállító, amely bankszámlaszám-változást jelent be a következő számlákhoz;
- egy hamis számla, a megfelelő összeggel és a megfelelő formátumban;
- egy hatóság hamis ellenőrzése, amelyet azután arra használnak, hogy egy új bankszámlaszámmal írjanak a vállalat ügyfeleinek: ezt a forgatókönyvet a francia Gazdasági Minisztérium írja le.
A mozgatórugó mindig emberi: a sürgetés, a titoktartás, a tekintély. A francia Gazdasági Minisztérium azt tanácsolja, hogy ne cselekedjünk elhamarkodottan, még egy kitartó beszélgetőpartnerrel szemben sem, és fokozottan figyeljünk a szabadságok idején, amikor a könyvelés csökkentett létszámmal dolgozik.
Példa, szemléltetésképpen. Egy péntek délután egy kkv könyvelője üzenetet kap a „vezérigazgatótól”: bizalmas felvásárlás, egy ügyvéd, aki telefonon jelentkezik, egy átutalás, amelyet hétfő előtt teljesíteni kell. Az üzenetben nincs sem melléklet, sem link. Megjelenített neve pontos, a címe nem. Technikailag semmi sem „fertőzött”.
Négyféle megszemélyesítés, nem egy
| Forma | Hogyan néz ki | SPF, DKIM, DMARC | Mi ismerheti fel |
|---|
| Hamisított megjelenített név | „Kovács Klára, vezérigazgató” egy ingyenes levelezőszolgáltatásból ír | Érvényesek a feladó valódi domainjére; a DMARC nem foglalkozik a megjelenített névvel | A megjelenített név, a cím és a domain vezetőinek neve közötti összevetés |
| Hasonmás domain | Egy megduplázott betű, egy kötőjel, egy másik végződés | A hasonmás domainre tökéletesek lehetnek | Hasonlóság az Ön domainjéhez vagy egy beszállítóéhoz, a domain kora, hírnév |
| Az Ön pontos domainje, máshonnan küldve | A megjelenített cím a valódi | A DMARC elbukik; megállítja az üzenetet, ha a domain szabályzata ezt kéri | DMARC-ellenőrzés érkezéskor |
| Valóban kompromittált fiók | Az üzenet a vezető vagy a beszállító valódi postafiókjából érkezik | Minden érvényes | Viselkedésváltozás, tartalom (új bankszámlaszám), és mindenekelőtt az ellenőrzési eljárás |
A DMARC specifikációja maga mondja ki: nem foglalkozik sem a vizuálisan hasonló domainekkel, sem a megjelenített névvel való visszaéléssel. A négy esetből három tehát kikerüli a domain hitelesítését. A részletek az SPF, DKIM és DMARC útmutatóban, az ellopott fiók esete a kéretlen levelek, adathalászat, kártevők és kompromittált fiók útmutatóban található.
Amit a technika megállít
- A pontosan hamisított domaint, ha a domain karantént vagy elutasítást előíró DMARC-szabályzatot tesz közzé.
- A hasonmás domaint, az Ön domainjével, beszállítói domainjeivel és az ismert márkákkal való összevetés, valamint a domain kora alapján: egy múlt héten létrehozott, az Önét utánzó domain erős jelzés.
- A megtévesztő megjelenített nevet, ha a szűrő tudja, kik a vállalat vezetői, és összeveti a megjelenített nevet a valódi címmel.
- Az ismert forgatókönyveket: sürgős átutalási kérés, bankszámla-adatok megváltoztatása, hamis számla, felhívás egy telefonszám visszahívására. Egy szűrő felismerheti ezeket a mintákat a szövegben, melléklet és link nélkül is.
- A rendellenességet: egy rendszeres beszállító, aki hirtelen másik országból, más időpontban ír, olyan kéréssel, amelyet még soha nem tett.
Egy gyakran elfelejtett szempont: egy szűrő alapértelmezés szerint nem tudja, ki az Ön vezetője, és kik a beszállítói. Ennek a kontextusnak a megadása – a vezetők neve és a rendszeres beszállítók – teszi lehetővé számára, hogy felismerjen egy hamis vezetőt.
Amiről a technika nem dönt
Egy szűrő csökkenti a beérkező hamis üzenetek számát. Kifizetést nem hagy jóvá. Egy valóban kompromittált fiók, egy hihető kérés, egy listákon nem szereplő hasonmás domain: egy üzenet átjuthat. Az utolsó védelmi vonal egy eljárás.
Az eljárásba beírandó reflexek
- Minden bankszámla-adat változását egy már ismert csatornán kell megerősíteni: hívással a beszállítónak az Ön nyilvántartásában szereplő telefonszámán, soha nem az üzenetben megadotton. A CNIL azt ajánlja, hogy az ismert kapcsolattartókat telefonon vagy személyesen keressék meg.
- Kettős jóváhagyás egy összeghatár felett, két személy által, akik közül az egyik kívül áll a levelezési szálon.
- A sürgetés és a titoktartás figyelmeztető jelek, nem okok a gyorsabb cselekvésre. Egy valódi vezető elfogad egy visszahívást.
- A beszállítói és ügyfél-kapcsolattartók naprakész listája, ahogy a CNIL ajánlja, hogy tudni lehessen, kit kell felhívni.
- Fokozott éberség szabadságok, évvégi zárás vagy szervezeti változás idején.
- Az Önéhez hasonló domainnevek lefoglalása, valamint kétfaktoros hitelesítés a levelezőrendszeren: két, a CNIL által említett intézkedés.
Kinek kell ismernie ezeket a szabályokat
Nem csak a könyvelésnek. A vezetői asszisztensek, a beszerzők, a beszállítói adatlapokat kezelők és a távollévőket helyettesítők a forgatókönyv természetes célpontjai, mert hozzáférnek a kifizetésekhez vagy a bankszámla-adatokhoz. A CNIL azt ajánlja, hogy a munkavállalókat képezzék ki a domainnevek ellenőrzésére és a szokatlan kérésekkel szembeni gyanakvásra. Egy írásos, rövid, mindenki által ismert és rendszeresen felidézett szabály többet ér egy szóbeli utasításnál: lehetővé teszi, hogy egy munkavállaló „nemet” mondjon egy hamis vezetőnek anélkül, hogy attól kellene tartania, hogy cserben hagyják.
Ha egy csalárd átutalás már elment: azonnal hívja fel a bankot, hogy megpróbálja visszavonni, őrizze meg az üzeneteket, tegyen feljelentést. Értesítse azokat az ügyfeleket vagy beszállítókat is, akiknek a nevével visszaéltek.
Gyakori kérdések
Elegendő a DMARC a CEO-csalás ellen?
Nem. Az Ön domainjének pontos hamisítását megállítja, a hasonmás domaint és a megjelenített nevet nem. Lásd: SPF, DKIM és DMARC.
Lehet-e veszélyes egy melléklet és link nélküli üzenet?
Igen. Az átutalásos csaláshoz csak egy hihető szövegre és egy végrehajtó személyre van szükség.
Az üzenet a beszállító valódi címéről érkezik: biztonságos?
Nem feltétlenül: a fiókját ellophatták. Lásd: kompromittált fiók. A telefonos ellenőrzés dönt.
Egy csalási üzenet karanténba került: fel kell engedni az ellenőrzéshez?
Nem. Ellenőrizze az ismert kapcsolattartónál, felengedés nélkül. Lásd: Karantén, téves riasztások és bejelentések.
Hol helyezkedik el a Klytic
A Klytic MTA ezt a védelmet két csomagja között osztja el. Bármely levelezőrendszer előtt működik, Klytic Mail nélkül is.
| Védelem | Essential | Advanced |
|---|
| SPF-, DKIM- és DMARC-ellenőrzés, a továbbított üzenetekre is | Igen | Igen |
| Márkahamisítás, hasonmás domainek, a megjelenített név hamisítása | Igen | Igen |
| Egy feladó szokatlan viselkedése | Igen | Igen |
| CEO-csalás | Nem | Igen |
| Hamis számlák, hamis átutalások, kriptovaluta, visszatérítések, finanszírozások, telefonhívások | Nem | Igen |
| SMS-riasztás, amikor egy fontos feladó ír | Opció | Opció |
A domain csalási kontextusát (a vezetők neve, rendszeres beszállítók) a domain adminisztrátora állítja be: lásd Ki állítja be a szűrőt a Klytic MTA-ban.
Amit a Klytic MTA nem tesz meg: nem hagy jóvá semmilyen kifizetést, és nem helyettesíti az Ön átutalási eljárását. Nem látja a közvetlen telefonhívásokat, csak azokat az üzeneteket, amelyek telefonhívásra szólítanak fel.
Ez az oldal általános intézkedéseket ír le. Bekövetkezett csalás esetén nem helyettesíti sem bankja, sem a hatóságok tanácsait.
Források
Megtekintve 2026 októberében.
- CNIL, „Le faux ordre de virement international ou fraude au président”: a támadás menete (felderítés, hasonló domain, sürgős kérés), megelőző intézkedések (az ismert kapcsolattartók visszahívása, jóváhagyási eljárások, hasonló domainek lefoglalása, kétfaktoros hitelesítés). cnil.fr
- A francia Gazdasági Minisztérium, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président”: sürgősként és bizalmasként bemutatott átutalás, egy hatóság megszemélyesítése bankszámlaszám-változás bejelentéséhez, az elhamarkodott cselekvés kerülése, éberség a szabadságok idején. economie.gouv.fr
- RFC 7489, DMARC: a mechanizmus hatókörén kívül esnek a vizuálisan hasonló domainnevek és a megjelenített névvel való visszaélés. rfc-editor.org
- Klytic, Klytic MTA oldal: a pénzügyi csalás elleni védelem megoszlása az Essential és az Advanced csomag között, opciók, telepítési módok, üzembe helyezés az MX-en keresztül. klytic.com
