Scenarijus
CNIL aprašo netikrą pervedimo nurodymą, vadinamą „sukčiavimu vadovo vardu“, keliais etapais. Sukčius renka informaciją apie įmonę: organizacinę struktūrą, klientus, tiekėjus. Jis parengia netikrą domeno vardą, panašų į įmonės ar tiekėjo domeną, arba pasisavina darbuotojo tapatybę. Tada jis parašo ar paskambina, apsimesdamas vadovu ar tiekėju, su prašymu, pateikiamu kaip skubus ir patvirtintas aukščiausiu lygiu.
Variantai panašūs:
- netikėtas, skubus ir konfidencialus pervedimas, kurio prašo netikras vadovas ar netikras grupės atsakingas asmuo;
- tiekėjas, pranešantis apie banko sąskaitos rekvizitų pakeitimą kitoms sąskaitoms faktūroms;
- netikra sąskaita faktūra, tinkamos sumos ir tinkamo formato;
- netikras institucijos patikrinimas, kuris vėliau naudojamas rašyti įmonės klientams su nauja banko sąskaita – tokį scenarijų aprašo Prancūzijos ekonomikos ministerija.
Svertas visada žmogiškas: skuba, paslaptis, autoritetas. Ekonomikos ministerija pataria neveikti skubotai, net susidūrus su primygtinai reikalaujančiu pašnekovu, ir būti ypač budriems atostogų metu, kai buhalterijoje dirba mažiau darbuotojų.
Pavyzdys, iliustracijai. Penktadienio popietę MVĮ buhalterė gauna „generalinio direktoriaus“ laišką: konfidencialus įsigijimas, paskambins advokatas, pervedimą reikia atlikti iki pirmadienio. Laiške nėra nei priedo, nei nuorodos. Jo rodomas vardas tikslus, adresas – ne. Techniškai niekas nėra „užkrėsta“.
Keturios apsimetinėjimo formos, ne viena
| Forma | Kaip ji atrodo | SPF, DKIM, DMARC | Kas gali ją aptikti |
|---|
| Pasisavintas rodomas vardas | „Rasa Petraitienė, generalinė direktorė“ rašo iš nemokamo el. pašto | Galioja tikrajam siuntėjo domenui; DMARC nevertina rodomo vardo | Rodomo vardo, adreso ir domeno vadovų vardų palyginimas |
| Panašus domenas | Padvigubinta raidė, brūkšnelis, kita plėtinė | Gali būti nepriekaištingi panašiam domenui | Panašumas į jūsų ar tiekėjo domeną, domeno amžius, reputacija |
| Jūsų tikslus domenas, siųstas iš kitur | Rodomas adresas yra tikras | DMARC nesuveikia; jis sustabdo laišką, jei to reikalauja domeno politika | DMARC patikra gaunant |
| Tikrai įsilaužimo pažeista paskyra | Laiškas ateina iš tikros vadovo ar tiekėjo pašto dėžutės | Viskas galioja | Elgsenos pokytis, turinys (nauji banko rekvizitai) ir svarbiausia – patikros procedūra |
Pati DMARC specifikacija tai sako: ji neapima nei vizualiai panašių domenų, nei piktnaudžiavimo rodomu vardu. Taigi trys atvejai iš keturių išvengia domeno autentifikavimo. Išsamiau – puslapyje SPF, DKIM ir DMARC, o pavogtos paskyros atvejis – puslapyje šlamštas, sukčiavimas, kenkėjiškos programos ir įsilaužimo pažeista paskyra.
Ką sustabdo technologijos
- Tikslus pasisavintas domenas, kai domenas skelbia karantino ar atmetimo DMARC politiką.
- Panašus domenas, palyginus su jūsų domenu, jūsų tiekėjų domenais ir žinomais prekės ženklais, ir pagal domeno amžių: praėjusią savaitę sukurtas domenas, imituojantis jūsų, yra stiprus signalas.
- Klaidinantis rodomas vardas, kai filtras žino, kas yra įmonės vadovai, ir palygina rodomą vardą su tikruoju adresu.
- Žinomi scenarijai: skubaus pervedimo prašymas, banko rekvizitų pakeitimas, netikra sąskaita faktūra, kvietimas paskambinti numeriu. Filtras gali atpažinti šias schemas tekste, net be priedo ar nuorodos.
- Anomalija: nuolatinis tiekėjas staiga rašo iš kitos šalies, kitu laiku, su prašymu, kurio niekada nebuvo pateikęs.
Dažnai pamirštamas dalykas: filtras pagal numatytuosius nustatymus nežino, kas yra jūsų vadovas ir kas yra jūsų tiekėjai. Būtent šis kontekstas – vadovų vardai ir nuolatiniai tiekėjai – leidžia jam pamatyti netikrą vadovą.
Ko technologijos nesprendžia
Filtras sumažina atkeliaujančių netikrų laiškų skaičių. Jis netvirtina mokėjimo. Tikrai įsilaužimo pažeista paskyra, įtikimas prašymas, sąrašuose nežinomas panašus domenas: laiškas gali praeiti. Paskutinis barjeras yra procedūra.
Refleksai, kuriuos reikia įrašyti į procedūrą
- Bet koks banko rekvizitų pakeitimas patvirtinamas jau žinomu kanalu: skambučiu tiekėjo numeriu, esančiu jūsų byloje, niekada ne laiške nurodytu numeriu. CNIL rekomenduoja susisiekti su žinomais kontaktais telefonu ar asmeniškai.
- Dvigubas patvirtinimas viršijus ribinę sumą, atliekamas dviejų asmenų, iš kurių vienas nedalyvauja susirašinėjime.
- Skuba ir paslaptis yra pavojaus signalai, o ne priežastis skubėti. Tikras vadovas sutinka, kad jam būtų perskambinta.
- Atnaujintas tiekėjų ir klientų kontaktų sąrašas, kaip rekomenduoja CNIL, kad būtų aišku, kam skambinti.
- Didesnis budrumas atostogų, laikotarpio uždarymo ar organizacinių pokyčių metu.
- Panašių domeno vardų rezervavimas ir dviejų veiksnių autentifikavimas el. pašte – dvi CNIL nurodytos priemonės.
Kas turi žinoti šias taisykles
Ne tik buhalterija. Vadovybės asistentai, pirkėjai, tiekėjų korteles tvarkantys asmenys ir pavaduojantys nesančiųjų darbuotojai yra natūralūs scenarijaus taikiniai, nes turi prieigą prie mokėjimų ar banko rekvizitų. CNIL rekomenduoja mokyti darbuotojus tikrinti domenų vardus ir atsargiai vertinti neįprastus prašymus. Rašytinė, trumpa, visiems žinoma ir reguliariai primenama taisyklė geriau už žodinį nurodymą: ji leidžia darbuotojui pasakyti „ne“ netikram vadovui, nebijant būti nepalaikytam.
Jei sukčių pervedimas jau atliktas: nedelsiant skambinti į banką ir bandyti jį atšaukti, išsaugoti laiškus, pateikti skundą policijai. Taip pat įspėti klientus ar tiekėjus, kurių vardas buvo panaudotas.
Dažniausi klausimai
Ar DMARC pakanka prieš sukčiavimą vadovo vardu?
Ne. Jis sustabdo tikslaus jūsų domeno pasisavinimą, bet ne panašų domeną ar rodomą vardą. Žr. SPF, DKIM ir DMARC.
Ar laiškas be priedo ir nuorodos gali būti pavojingas?
Taip. Pervedimo sukčiavimui tereikia įtikinamo teksto ir žmogaus, kuris įvykdo nurodymą.
Laiškas ateina iš tikro tiekėjo adreso: ar tai saugu?
Nebūtinai: jo paskyra galėjo būti pavogta. Žr. įsilaužimo pažeista paskyra. Klausimą išsprendžia patikra telefonu.
Sukčiavimo laiškas perkeltas į karantiną: ar reikia jį išleisti, kad patikrintumėte?
Ne. Pasitikrinkite pas žinomą kontaktą, neišleisdami laiško. Žr. Karantinas, klaidingi teigiami rezultatai ir pranešimai.
Kur yra Klytic
Klytic MTA šią apsaugą paskirsto tarp dviejų planų. Jis veikia prieš bet kokią el. pašto sistemą, be Klytic Mail.
| Apsauga | Essential | Advanced |
|---|
| SPF, DKIM, DMARC patikra, taip pat persiųstiems laiškams | Taip | Taip |
| Prekės ženklo pasisavinimas, panašūs domenai, rodomo vardo klastojimas | Taip | Taip |
| Neįprastas siuntėjo elgesys | Taip | Taip |
| Sukčiavimas vadovo vardu | Ne | Taip |
| Netikros sąskaitos faktūros, netikri pervedimai, kriptovaliutos, kompensacijos, finansavimas, telefono skambučiai | Ne | Taip |
| SMS įspėjimas, kai parašo svarbus siuntėjas | Papildoma paslauga | Papildoma paslauga |
Domeno sukčiavimo kontekstą (vadovų vardus, nuolatinius tiekėjus) nustato domeno administratorius: žr. Kas nustato filtrą Klytic MTA.
Ko Klytic MTA nedaro: jis netvirtina jokių mokėjimų ir nepakeičia jūsų pervedimo procedūros. Jis nemato tiesioginio telefono skambučio, tik laiškus, kviečiančius paskambinti.
Šiame puslapyje aprašytos bendrosios priemonės. Patvirtinto sukčiavimo atveju jis nepakeičia nei jūsų banko, nei institucijų patarimų.
Šaltiniai
Peržiūrėta 2026 m. spalį.
- CNIL, „Le faux ordre de virement international ou fraude au président“: atakos eiga (žvalgyba, panašus domenas, skubus prašymas), prevencijos priemonės (perskambinimas žinomiems kontaktams, tvirtinimo procedūros, panašių domenų rezervavimas, dviejų veiksnių autentifikavimas). cnil.fr
- Prancūzijos ekonomikos ministerija, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président“: pervedimas, pateikiamas kaip skubus ir konfidencialus, apsimetimas institucija, siekiant pranešti apie banko rekvizitų pakeitimą, neveikti skubotai, budrumas atostogų metu. economie.gouv.fr
- RFC 7489, DMARC: už mechanizmo taikymo srities ribų – vizualiai panašūs domenų vardai ir piktnaudžiavimas rodomu vardu. rfc-editor.org
- Klytic, Klytic MTA puslapis: finansinio sukčiavimo apsaugos paskirstymas tarp Essential ir Advanced planų, papildomos paslaugos, diegimo būdai, paleidimas per MX. klytic.com
