Scenārijs
CNIL apraksta viltotu pārskaitījuma rīkojumu, t. s. „vadītāja vārdā veiktu krāpšanu”, vairākos posmos. Krāpnieks ievāc ziņas par uzņēmumu: organizācijas struktūru, klientiem, piegādātājiem. Viņš sagatavo viltotu domēna vārdu, kas līdzīgs uzņēmuma vai piegādātāja domēnam, vai uzdodas par darbinieku. Pēc tam viņš raksta vai zvana, uzdodoties par vadītāju vai piegādātāju, ar lūgumu, kas pasniegts kā steidzams un apstiprināts augstākajā līmenī.
Varianti ir līdzīgi:
- neparedzēts, steidzams un konfidenciāls pārskaitījums, ko pieprasa viltots vadītājs vai viltots grupas atbildīgais;
- piegādātājs, kas paziņo par bankas konta rekvizītu maiņu nākamajiem rēķiniem;
- viltots rēķins ar pareizu summu un pareizā formātā;
- viltota valsts iestādes pārbaude, ko pēc tam izmanto, lai rakstītu uzņēmuma klientiem ar jaunu bankas kontu – scenārijs, ko aprakstījusi Francijas Ekonomikas ministrija.
Dzinulis vienmēr ir cilvēcisks: steiga, noslēpums, autoritāte. Francijas Ekonomikas ministrija iesaka nerīkoties steigā, pat ja sarunu biedrs ir uzstājīgs, un būt īpaši modīgiem atvaiļinājumu laikā, kad grāmatvedības nodaļās strādā mazāk darbinieku.
Piemērs ilustrācijai. Piektdien pēcpusdienā MVU grāmatvede saņem vēstuli no „ģenerāldirektora”: konfidenciāla iegāde, advokāts, kas piezvanīs, pārskaitījums, kas jāveic līdz pirmdienai. Vēstulē nav ne pielikuma, ne saites. Tās attēlojamais vārds ir pareizs, adrese – nē. Tehniski nekas nav „inficēts”.
Četri uzdošanās veidi, nevis viens
| Veids | Kā tas izskatās | SPF, DKIM, DMARC | Kas to var atklāt |
|---|
| Viltots attēlojamais vārds | „Anna Bērziņa, valdes priekšsēdētāja” raksta no bezmaksas e-pasta pakalpojuma | Derīgi sūtītāja īstajam domēnam; DMARC neapstrādā attēlojamo vārdu | Attēlotā vārda, adreses un domēna vadošo darbinieku vārdu salīdzināšana |
| Līdzīgs domēns | Dubultā burts, defise, cits paplašinājums | Var būt nevainojami līdzīgajam domēnam | Līdzība ar jūsu vai piegādātāja domēnu, domēna vecums, reputācija |
| Jūsu precīzais domēns, sūtīts no citurienes | Attēlotā adrese ir īstā | DMARC pārbaude neizdodas; tā aptur vēstuli, ja to prasā domēna politika | DMARC pārbaude saņemšanas brīdī |
| Patiešām kompromitēts konts | Vēstule nāk no vadītāja vai piegādātāja īstās pastkastes | Viss ir derīgs | Uzvedības maiņa, saturs (jauns konta numurs) un galvenokārt pārbaudes procedūra |
DMARC specifikācijā tas teikts skaidri: tā neapstrādā ne vizuāli līdzīgus domēnus, ne attēlojamā vārda ļaunprātīgu izmantošanu. Tātad trīs gadījumi no četriem izslīd no domēna autentifikācijas. Sīkāka informācija ir rakstā SPF, DKIM un DMARC, bet nozagta konta gadījums – rakstā surogātpasts, pikšķerēšana, ļaunprogrammatūra un kompromitēts konts.
Ko aptur tehnika
- Viltotu precīzo domēnu, ja domēns publicē DMARC politiku ar karantīnu vai noraidīšanu.
- Līdzīgu domēnu, salīdzinot ar jūsu domēnu, jūsu piegādātāju domēniem un zināmām zīmolām, kā arī pēc domēna vecuma: pagājušnedēļ izveidots domēns, kas atdarina jūsuējo, ir spēcīgs signāls.
- Maldinošu attēlojamo vārdu, ja filtrs zina, kas ir uzņēmuma vadošie darbinieki, un salīdzina attēloto vārdu ar īsto adresi.
- Zināmus scenārijus: steidzama pārskaitījuma pieprasījums, bankas konta rekvizītu maiņa, viltots rēķins, aicinājums atzvanīt uz numuru. Filtrs var atpazīt šīs shēmas tekstā pat bez pielikuma vai saites.
- Anomāliju: pastāvīgs piegādātājs, kas pēkšņi raksta no citas valsts, citā laikā, ar pieprasījumu, ko nekad nav izteicis.
Bieži aizmirsts punkts: filtrs pēc noklusējuma nezina, kas ir jūsu vadītājs un kas ir jūsu piegādātāji. Tieši šis konteksts – vadošo darbinieku vārdi un pastāvīgie piegādātāji – ļauj tam ierauzīt viltotu vadītāju.
Ko tehnika neizlemj
Filtrs samazina pienākošo viltoto vēstuļu skaitu. Tas neapstiprina maksājumu. Patiešām kompromitēts konts, ticams pieprasījums, sarakstos nezināms līdzīgs domēns: vēstule var izsprukt cauri. Pēdējā barjera ir procedūra.
Ieradumi, kas jāieraksta procedūrā
- Jebkura bankas konta rekvizītu maiņa tiek apstiprināta pa jau zināmu kanālu: zvans uz piegādātāja numuru, kas ir jūsu lietvedībā, nekad ne uz vēstulē norādīto. CNIL iesaka sazināties ar zināmajām kontaktpersonām pa tālruni vai klātienē.
- Dubulta apstiprināšana virs noteikta sliekšņa, ko veic divi cilvēki, no kuriem viens nav iesaistīts sarakstē.
- Steiga un noslēpums ir brīdinājuma signāli, nevis iemesli rīkoties ātrāk. Įsts vadītājs piekrīt atzvanam.
- Aktuāls piegādātāju un klientu kontaktu saraksts, kā iesaka CNIL, lai zinātu, kam zvanīt.
- Pastiprināta modrība atvaiļinājumu, pārskata perioda slēgšanas vai organizācijas pārmaiņu laikā.
- Līdzīgu domēnu vārdu rezervēšana un divfaktoru autentifikācija e-pastā – divi pasākumi, ko min CNIL.
Kam jāzina šie noteikumi
Ne tikai grāmatvedībai. Vadības asistenti, iepircēji, personas, kas pārvalda piegādātāju kartītes, un tie, kas aizstāj prombūtā esošos, ir dabiski šī scenārija mērķi, jo viņiem ir piekļuve maksājumiem vai bankas konta rekvizītiem. CNIL iesaka izglītot darbiniekus pārbaudīt domēnu vārdus un būt piesardzīgiem pret neparastiem lūgumiem. Īss rakstisks noteikums, ko visi zina un kas regulāri tiek atgādināts, ir labāks par mutisku norādījumu: tas ļauj darbiniekam pateikt „nē” viltotam vadītājam, nebaidoties tikt nosodītam.
Ja krāpniecisks pārskaitījums jau ir veikts: nekavējoties zvaniet bankai, lai mēģinātu to atcelt, saglabājiet vēstules, iesniedziet iesniegumu policijā. Brīdiniet arī klientus vai piegādātājus, kuru vārds tika izmantots.
Biežāk uzdotie jautājumi
Vai pret vadītāja vārdā veiktu krāpšanu pietiek ar DMARC?
Nē. Tas aptur jūsu domēna precīzu viltojumu, bet ne līdzīgu domēnu un ne attēlojamo vārdu. Skatiet SPF, DKIM un DMARC.
Vai vēstule bez pielikuma un saites var būt bīstama?
Jā. Pārskaitījuma krāpšanai vajadzīgs tikai ticams teksts un cilvēks, kas izpilda.
Vēstule nāk no piegādātāja īstās adreses: vai tas ir droši?
Ne vienmēr: viņa konts var būt nozagts. Skatiet kompromitēts konts. Izlemšana notiek ar pārbaudi pa tālruni.
Krāpšanas vēstule ievietota karantīnā: vai tā jāatbrīvo, lai pārbaudītu?
Nē. Pārbaudiet pie zināmās kontaktpersonas, neatbrīvojot. Skatiet Karantīna, kļūdaini pozitīvi rezultāti un ziņošana.
Kur ir Klytic
Klytic MTA sadala šo aizsardzību starp saviem diviem piedāvājumiem. Tas darbojas pirms jebkura e-pasta servera, bez Klytic Mail.
| Aizsardzība | Essential | Advanced |
|---|
| SPF, DKIM, DMARC pārbaude, arī pārsūtītām vēstulēm | Jā | Jā |
| Zīmola viltojumi, līdzīgi domēni, attēlojamā vārda viltojumi | Jā | Jā |
| Neparasta sūtītāja uzvedība | Jā | Jā |
| Vadītāja vārdā veikta krāpšana | Nē | Jā |
| Viltoti rēķini, viltoti pārskaitījumi, kriptolīdzekļi, atmaksas, finansējumi, tālruņa zvani | Nē | Jā |
| SMS brīdinājums, kad raksta svarīgs sūtītājs | Papildiespēja | Papildiespēja |
Domēna krāpšanas kontekstu (vadošo darbinieku vārdi, pastāvīgie piegādātāji) iestata domēna administrators: skatiet Kas iestata filtru Klytic MTA.
Ko Klytic MTA nedara: tas neapstiprina nevienu maksājumu un neaizstāj jūsu pārskaitījumu procedūru. Tas neredz tiešu tālruņa zvanu, tikai vēstules, kas aicina piezvanīt.
Šajā lapā aprakstīti vispārīgi pasākumi. Tā neaizstāj jūsu bankas vai iestāžu padomus krāpšanas gadījumā.
Avoti
Skatīti 2026. gada oktobrī.
- CNIL, „Le faux ordre de virement international ou fraude au président”: uzbrukuma gaita (izlūkošana, līdzīgs domēns, steidzams pieprasījums), novēršanas pasākumi (atzvanīšana zināmajām kontaktpersonām, apstiprināšanas procedūras, līdzīgu domēnu rezervēšana, divfaktoru autentifikācija). cnil.fr
- Francijas Ekonomikas ministrija, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président”: pārskaitījums, kas pasniegts kā steidzams un konfidenciāls, uzdošanās par valsts iestādi, lai paziņotu par konta numura maiņu, nerīkošanās steigā, modrība atvaiļinājumu laikā. economie.gouv.fr
- RFC 7489, DMARC: ārpus mehānisma darbības jomas ir vizuāli līdzīgi domēnu vārdi un attēlojamā vārda ļaunprātīga izmantošana. rfc-editor.org
- Klytic, lapa Klytic MTA: finanšu krāpšanas aizsardzības sadalījums starp piedāvājumiem Essential un Advanced, papildiespējas, izvietošanas veidi, ieviešana ar MX. klytic.com
