Scenariul
CNIL descrie ordinul de transfer fals, numit „fraudă de tip CEO”, în mai multe etape. Escrocul se informează despre companie: organigramă, clienți, furnizori. Pregătește un nume de domeniu fals, apropiat de cel al companiei sau al unui furnizor, ori uzurpă identitatea unui angajat. Apoi scrie sau sună, dându-se drept un director sau un furnizor, cu o cerere prezentată ca urgentă și aprobată la cel mai înalt nivel.
Variantele se aseamănă:
- un transfer neașteptat, urgent și confidențial, cerut de un director fals sau de un responsabil fals al grupului;
- un furnizor care anunță schimbarea contului bancar pentru următoarele facturi;
- o factură falsă, cu suma corectă și în formatul corect;
- un control fals din partea unei administrații, care servește apoi pentru a le scrie clienților companiei cu un nou cont bancar, scenariu descris de Ministerul Economiei.
Mecanismul este întotdeauna uman: urgența, secretul, autoritatea. Ministerul Economiei recomandă să nu acționați în grabă, chiar și în fața unui interlocutor insistent, și să fiți de două ori mai vigilenți în perioada concediilor, când departamentele de contabilitate lucrează cu personal redus.
Exemplu, cu titlu ilustrativ. Vineri, spre sfârșitul după-amiezii, contabila unui IMM primește un mesaj de la „directorul general”: o achiziție confidențială, un avocat care va suna, un transfer de făcut până luni. Mesajul nu conține nici atașament, nici link. Numele afișat este corect, adresa nu. Nimic, din punct de vedere tehnic, nu este „infectat”.
Patru forme de uzurpare, nu una
| Formă | Cum arată | SPF, DKIM, DMARC | Ce o poate detecta |
|---|
| Nume afișat uzurpat | „Claire Martin, director general”, scris de pe un serviciu de e-mail gratuit | Valide pentru domeniul real al expeditorului; DMARC nu tratează numele afișat | Compararea numelui afișat cu adresa și cu numele cadrelor de conducere ale domeniului |
| Domeniu-clonă | O literă dublată, o cratimă, o altă extensie | Pot fi perfecte pentru domeniul-clonă | Asemănarea cu domeniul dumneavoastră sau cu cel al unui furnizor, vechimea domeniului, reputația |
| Domeniul dumneavoastră exact, trimis din altă parte | Adresa afișată este cea reală | DMARC eșuează; oprește mesajul dacă politica domeniului o cere | Verificarea DMARC la sosire |
| Cont compromis cu adevărat | Mesajul provine din căsuța reală a directorului sau a furnizorului | Totul este valid | Schimbarea comportamentului, conținutul (cont bancar nou) și, mai ales, procedura de verificare |
Specificația DMARC o spune ea însăși: nu tratează nici domeniile asemănătoare vizual, nici abuzul de nume afișat. Trei cazuri din patru scapă așadar autentificării domeniului. Detaliile se găsesc în SPF, DKIM și DMARC, iar cazul contului furat în spam, phishing, malware și cont compromis.
Ce oprește tehnica
- Domeniul exact uzurpat, atunci când domeniul publică o politică DMARC de carantină sau de respingere.
- Domeniul-clonă, prin comparație cu domeniul dumneavoastră, cu cele ale furnizorilor și cu mărcile cunoscute, și prin vechimea domeniului: un domeniu creat săptămâna trecută care îl imită pe al dumneavoastră este un semnal puternic.
- Numele afișat înșelător, atunci când filtrul știe cine sunt cadrele de conducere ale companiei și compară numele afișat cu adresa reală.
- Scenariile cunoscute: cerere de transfer urgent, schimbarea datelor bancare, factură falsă, invitație de a suna la un număr. Un filtru poate recunoaște aceste tipare în text, chiar și fără atașament sau link.
- Anomalia: un furnizor obișnuit care scrie brusc din altă țară, la altă oră, cu o cerere pe care nu a făcut-o niciodată.
Un aspect adesea uitat: un filtru nu știe, implicit, cine este directorul dumneavoastră și cine sunt furnizorii dumneavoastră. Furnizarea acestui context, numele cadrelor de conducere și furnizorii obișnuiți, este ceea ce îi permite să recunoască un director fals.
Ce nu decide tehnica
Un filtru reduce numărul de mesaje false care ajung. El nu validează o plată. Un cont compromis cu adevărat, o cerere plauzibilă, un domeniu-clonă necunoscut listelor: un mesaj poate trece. Ultima barieră este o procedură.
Reflexe de scris în procedură
- Orice schimbare a datelor bancare se confirmă printr-un canal deja cunoscut: un apel la numărul furnizorului care figurează în evidențele dumneavoastră, niciodată la cel indicat în mesaj. CNIL recomandă contactarea telefonică sau în persoană a persoanelor de contact cunoscute.
- Dublă validare peste un anumit prag, de către două persoane, dintre care una din afara firului de discuție.
- Urgența și secretul sunt semnale de alarmă, nu motive de a acționa mai repede. Un director adevărat acceptă să fie sunat înapoi.
- Listă actualizată a persoanelor de contact de la furnizori și clienți, așa cum recomandă CNIL, pentru a ști pe cine să sunați.
- Vigilență sporită în perioada concediilor, a închiderii exercițiului sau a schimbărilor organizatorice.
- Rezervarea numelor de domeniu apropiate de al dumneavoastră și autentificarea cu doi factori pentru e-mail, două măsuri citate de CNIL.
Cine trebuie să cunoască aceste reguli
Nu doar departamentul de contabilitate. Asistenții conducerii, achizitorii, persoanele care gestionează fișele furnizorilor și cele care înlocuiesc un coleg absent sunt ținte naturale ale scenariului, pentru că au acces la plăți sau la datele bancare. CNIL recomandă sensibilizarea angajaților pentru a verifica numele de domeniu și pentru a fi precauți față de cererile neobișnuite. O regulă scrisă, scurtă, cunoscută de toți și reamintită periodic valorează mai mult decât o instrucțiune verbală: ea îi permite unui angajat să spună „nu” unui director fals fără teama de a fi dezavuat.
Dacă a plecat un transfer fraudulos: sunați imediat banca pentru a încerca anularea lui, păstrați mesajele, depuneți plângere. Anunțați și clienții sau furnizorii al căror nume a fost folosit.
Întrebări frecvente
Este DMARC suficient împotriva fraudei de tip CEO?
Nu. Oprește uzurparea exactă a domeniului dumneavoastră, nu domeniul-clonă și nici numele afișat. Vedeți SPF, DKIM și DMARC.
Poate fi periculos un mesaj fără atașament și fără link?
Da. Frauda cu transferuri bancare are nevoie doar de un text credibil și de o persoană care execută.
Mesajul vine de la adresa reală a furnizorului: este sigur?
Nu neapărat: contul său poate fi fost furat. Vedeți cont compromis. Verificarea telefonică este cea care decide.
Un mesaj de fraudă a fost pus în carantină: trebuie eliberat pentru verificare?
Nu. Verificați la persoana de contact cunoscută, fără a-l elibera. Vedeți Carantină, rezultate fals pozitive și semnalări.
Unde se situează Klytic
Klytic MTA împarte această protecție între cele două oferte ale sale. Funcționează în fața oricărui serviciu de e-mail, fără Klytic Mail.
| Protecție | Essential | Advanced |
|---|
| Verificare SPF, DKIM, DMARC, inclusiv pentru mesajele redirecționate | Da | Da |
| Uzurparea identității mărcilor, domenii-clonă, uzurparea numelui afișat | Da | Da |
| Comportamente neobișnuite ale unui expeditor | Da | Da |
| Frauda de tip CEO | Nu | Da |
| Facturi false, transferuri false, cripto, rambursări, finanțări, apeluri telefonice | Nu | Da |
| Alertă SMS când scrie un expeditor important | Opțiune | Opțiune |
Contextul de fraudă al domeniului (numele cadrelor de conducere, furnizorii obișnuiți) este configurat de administratorul domeniului: vedeți Cine configurează filtrul în Klytic MTA.
Ce nu face Klytic MTA: nu validează nicio plată și nu înlocuiește procedura dumneavoastră de transfer. Nu vede un apel telefonic direct, ci doar mesajele care invită la apel.
Această pagină descrie măsuri generale. Ea nu înlocuiește nici sfaturile băncii dumneavoastră, nici pe cele ale autorităților în caz de fraudă dovedită.
Surse
Consultate în octombrie 2026.
- CNIL, „Le faux ordre de virement international ou fraude au président” (Ordinul fals de transfer internațional sau frauda de tip CEO): desfășurarea atacului (documentare, domeniu apropiat, cerere urgentă), măsuri de prevenire (contactarea persoanelor cunoscute, proceduri de validare, rezervarea domeniilor apropiate, autentificare cu doi factori). cnil.fr
- Ministerul Economiei, „Se prémunir contre l’escroquerie aux faux ordres de virement ou arnaque au président” (Cum vă protejați de escrocheria cu ordine de transfer false sau frauda de tip CEO): transfer prezentat ca urgent și confidențial, uzurparea identității unei administrații pentru a anunța o schimbare a contului bancar, a nu acționa în grabă, vigilență în perioada concediilor. economie.gouv.fr
- RFC 7489, DMARC: în afara perimetrului mecanismului, numele de domeniu asemănătoare vizual și abuzul de nume afișat. rfc-editor.org
- Klytic, pagina Klytic MTA: împărțirea protecției împotriva fraudei financiare între ofertele Essential și Advanced, opțiuni, moduri de implementare, punere în funcțiune prin MX. klytic.com
